@7n/rules 1.7.0 → 1.7.1

package/rules/k8s/main.mdc

@@ -20,3 +20,71 @@ alwaysApply: false
 ## Швидкий gate через conftest (Rego)
 
 Підмножину пер-документних правил продубльовано як rego-полісі у **`npm/rules/k8s/policy/`** (запускається через **`bun run lint-rego`** для `*_test.rego` юніт-тестів і через **`npx @7n/rules fix k8s`** для прогону по реальних YAML). JS authoritative; rego — швидкий gate для одиничного маніфеста.
+
+## Визначення схеми YAML (канон `yaml-language-server: $schema`)
+
+Для кожного файлу `*.yaml` у шляху з `k8s`, якщо існує **публічна** схема — **перший рядок** — коментар-директива для [YAML Language Server](https://github.com/redhat-developer/yaml-language-server) з URL за `https://`:
+
+```yaml
+# yaml-language-server: $schema=https://...
+```
+
+Далі — вміст маніфесту без зайвого порожнього рядка між коментарем і YAML. Орієнтир для визначення URL — **перший документ** (до наступного `---`); багатодокументні файли — див. нижче.
+
+**Modeline — опційний:** якщо для конкретного поєднання `apiVersion`/`kind` **немає** надійної публічної схеми (yannh/datree не покривають), залиш файл **без** рядка `# yaml-language-server: $schema=…`. **Заборонено** ставити `$schema=file:…` як заглушку.
+
+**Виняток — modeline заборонено:** `apiVersion: alb.yc.io/v1alpha1`, `kind: HttpBackendGroup` (Yandex ALB) — рядка **`# yaml-language-server: $schema=…`** у файлі **не** має бути. Перший рядок — одразу YAML (`apiVersion:` тощо).
+
+Перевірка й побудова URL — **`npm/rules/k8s/manifests/main.mjs`** (`expectedSchemaUrl`, `expectedSchemaUrlForTypedManifest`).
+
+### Правила визначення URL схеми
+
+1. **Ім'я** `kustomization.yaml` → `https://json.schemastore.org/kustomization.json`.
+
+2. **`apiVersion: v1`** → yannh, PIN набору схем **`v1.33.9-standalone-strict`**, ref репозиторію для raw URL — **`master`**:
+   `https://raw.githubusercontent.com/yannh/kubernetes-json-schema/master/<PIN>/<kind>-v1.json`
+   `<kind>`: літери в нижньому регістрі без роздільників між CamelCase (наприклад `Service` → `service`).
+
+   **`kind: Secret`** і **`type: kubernetes.io/basic-auth`** — той самий шаблон, **`secret-v1.json`**:
+
+   ```yaml
+   # yaml-language-server: $schema=https://raw.githubusercontent.com/yannh/kubernetes-json-schema/master/v1.33.9-standalone-strict/secret-v1.json
+   ```
+
+3. **`apiVersion: group/version`** і **group** у переліку yannh-груп (`apps`, `autoscaling`, `batch`, `policy`, `networking.k8s.io`, `rbac.authorization.k8s.io`, `flowcontrol.apiserver.k8s.io`, `apiextensions.k8s.io` та ін. — повний перелік `YANNH_GROUPS` у `npm/rules/k8s/manifests/main.mjs`) → yannh:
+   `https://raw.githubusercontent.com/yannh/kubernetes-json-schema/master/<PIN>/<kind>-<group-частина>-<version>.json`
+   де **`<group-частина>`** — **перший сегмент** `group` до першої крапки: для груп без крапок збігається з усією group (`apps/v1` + `Deployment` → `deployment-apps-v1.json`); для `*.k8s.io` / `*.apiserver.k8s.io` — лише префікс до `.k8s.io` (`networking.k8s.io/v1` + `Ingress` → `ingress-networking-v1.json`; `networking.k8s.io/v1` + `NetworkPolicy` → `networkpolicy-networking-v1.json`; `rbac.authorization.k8s.io/v1` + `ClusterRole` → `clusterrole-rbac-v1.json`; `flowcontrol.apiserver.k8s.io/v1` + `FlowSchema` → `flowschema-flowcontrol-v1.json`). У yannh **немає** файлів з фрагментом `-k8s-io-` у назві.
+
+4. **Інакше** (CRD, Gateway API тощо) → [datreeio/CRDs-catalog](https://github.com/datreeio/CRDs-catalog). Типово для `$schema` у редакторі — **GitHub Pages**:
+   `https://datreeio.github.io/CRDs-catalog/<group>/<kind>_<version>.json`
+   (`<kind>` — лише літери та цифри в нижньому регістрі, без роздільників між CamelCase.)
+
+   **Виняток — `InfisicalSecret`:** `apiVersion: secrets.infisical.com/v1alpha1`, `kind: InfisicalSecret` — канонічний modeline через **raw** на гілці **`main`** (явний запис у таблиці `EXPLICIT_K8S_SCHEMAS`):
+
+   ```yaml
+   # yaml-language-server: $schema=https://raw.githubusercontent.com/datreeio/CRDs-catalog/main/secrets.infisical.com/infisicalsecret_v1alpha1.json
+   ```
+
+   **Приклад (Gateway API):** `apiVersion: gateway.networking.k8s.io/v1`, `kind: HTTPRoute` — канон **`v1`** (не `v1beta1`, див. **`gateway.mdc`**):
+
+   ```yaml
+   # yaml-language-server: $schema=https://datreeio.github.io/CRDs-catalog/gateway.networking.k8s.io/httproute_v1.json
+   ```
+
+   **Приклад (GKE):** `apiVersion: networking.gke.io/v1`, `kind: HealthCheckPolicy`:
+
+   ```yaml
+   # yaml-language-server: $schema=https://datreeio.github.io/CRDs-catalog/networking.gke.io/healthcheckpolicy_v1.json
+   ```
+
+5. **Немає надійного публічного URL** — не вигадуй URL і **не** використовуй `$schema=file:…`. Залиш файл **без** рядка `# yaml-language-server: $schema=…` зовсім.
+
+## Багатодокументні YAML
+
+Одна схема на файл; перевірка $schema-modeline звіряє **перший** документ (до наступного `---`). Інші `kind` у тому ж файлі — розділи файли або узгодь у рев'ю.
+
+## Розширення файлів: лише `.yaml`
+
+Усі маніфести під **`k8s`** (визначаються відносно кореня репо), включно з **`kustomization.yaml`**, — лише **`.yaml`**. Розширення **`.yml`** під `k8s` заборонене: `check k8s` падає з порадою перейменувати файл на `.yaml` (перевірка — `npm/rules/k8s/manifests/main.mjs`, повідомлення `розширення .yml — перейменуй на .yaml`).
+
+Цей канон стосується лише дерев **`k8s`** — під **`.github/workflows/`** і **`.github/actions/`** діє протилежний канон (`.yml`), див. **`ga.mdc`**.

package/rules/k8s/manifest/manifest.mdc

@@ -15,3 +15,40 @@ Rego-пакет: `k8s.manifest`
 - `kind: Deployment` — канонічний запис у `spec.template.spec.topologySpreadConstraints`: `maxSkew: 1`, `topologyKey: kubernetes.io/hostname`, `whenUnsatisfiable: ScheduleAnyway`, `labelSelector.matchLabels.app: <app-label>` (перевіряється лише для Deployment з міткою `app` у `spec.selector.matchLabels`)
 
 **Примітка:** cross-file логіка (Kustomize-резолюція, парність svc/svc-hl, HPA/PDB за каталогом, schema modeline) лишається у JS `rules/k8s/fix.mjs`.
+
+## Deployment: `resources.requests` поза `base/`
+
+Базовий шар (`…/k8s/…/base/…`) має жорстко фіксовані `resources.requests.cpu`/`memory` — див. **`base_manifest.mdc`**. Поза `base` (overlays, окремі каталоги) ця перевірка (рядок 12 вище) вимагає лише непорожні `resources.requests.cpu` і `resources.requests.memory` — конкретне значення не фіксується.
+
+Якщо ще не підібрано власні ліміти під сервіс, орієнтир для **`requests`**:
+
+```yaml
+resources:
+  requests:
+    cpu: '0.5'
+    memory: '512Mi'
+```
+
+У прод-оверлеях підіймай **`cpu` / `memory`** до реального споживання через **`patches`**:
+
+```yaml title="k8s/prod/kustomization.yaml (фрагмент)"
+patches:
+  - target:
+      kind: Deployment
+      name: backend-api
+    patch: |-
+      - op: replace
+        path: /spec/template/spec/containers/0/resources/requests/cpu
+        value: '500m'
+      - op: replace
+        path: /spec/template/spec/containers/0/resources/requests/memory
+        value: 1Gi
+```
+
+**`imagePullPolicy`** — цю перевірку скрипт **не** виконує.
+
+## Batch-ресурси: `apiVersion: batch/v1beta1` → `batch/v1`
+
+Ресурси **batch** (наприклад **CronJob**, **Job**): застаріле **`apiVersion: batch/v1beta1`** у файлах під **`k8s`** під час `check k8s` автоматично переписується на **`apiVersion: batch/v1`** (рядково, зі збереженням відступів/лапок). Детектор — `detectBatchV1beta1InK8sYamlFiles`, автофікс — T0-патерн `k8s-manifests-batch-v1beta1-apiversion` (обидва в **`npm/rules/k8s/manifests/main.mjs`** / **`fix-manifests.mjs`**), той самий механізм, що й `gateway-httproute-v1beta1` вище по домену gateway (див. **`gateway.mdc`**).
+
+`apiVersion: autoscaling/v1` (заборонено для HPA, потрібен `autoscaling/v2`) — рядок 10 вище і **`hpa_pdb.mdc`**.

package/rules/k8s/manifests/docs/fix-manifests.md

@@ -3,7 +3,7 @@ type: JS Module
 title: fix-manifests.mjs
 resource: npm/rules/k8s/manifests/fix-manifests.mjs
 docgen:
-  crc: 31bc471b
+  crc: 7245cdbe
 ---
 
 ## Огляд
@@ -29,6 +29,8 @@ T0-autofix для `k8s/manifests`: детерміновані правки Kuber
   що й детектор (kind → name → namespace → path).
 - **gateway-httproute-v1beta1** — піднімає `apiVersion` HTTPRoute з `gateway.networking.k8s.io/v1beta1`
   до `v1` разом із відповідним `$schema`-modeline.
+- **batch-v1beta1-apiversion** — переписує `apiVersion: batch/v1beta1` (CronJob/Job) на `batch/v1`,
+  рядково, зі збереженням відступів і лапок.
 
 ## Публічний API
 

package/rules/k8s/manifests/fix-manifests.mjs

@@ -4,6 +4,7 @@
  * T0-autofix для `k8s/manifests` — детерміновані правки без LLM, керовані structured
  * `data` детектора (#3 fix-hints). Покриває механічні родини порушень k8s.mdc:
  *   - `gateway-httproute-v1beta1` — apiVersion v1beta1 → v1 (+ $schema-modeline);
+ *   - `batch-v1beta1-apiversion` — apiVersion batch/v1beta1 → batch/v1 (CronJob/Job);
  *   - `schema-modeline-first` — перемістити `# yaml-language-server: $schema=…` у перший рядок;
  *   - `kustomization-patches-sort` — впорядкувати `patches[]` (реюз детекторних sort-ключів);
  *   - `deployment-strategy` — проставити канонічний `spec.strategy` RollingUpdate.
@@ -21,6 +22,7 @@ import {
   compareStringTuplesEn,
   kustomizationPatchSortKey,
   loadSnippetSpec,
+  replaceBatchV1beta1ApiVersionInYamlText,
   replaceGatewayHttpRouteV1beta1ApiVersionInYamlText,
   snippetNameForKind
 } from './main.mjs'
@@ -190,6 +192,15 @@ export const patterns = [
     },
     n => `gateway HTTPRoute apiVersion v1beta1 → v1: ${n} файл(ів)`
   ),
+  fileTransformPattern(
+    'k8s-manifests-batch-v1beta1-apiversion',
+    'batch-v1beta1-apiversion',
+    content => {
+      const { changed, content: next } = replaceBatchV1beta1ApiVersionInYamlText(content)
+      return changed ? next : null
+    },
+    n => `batch apiVersion v1beta1 → v1: ${n} файл(ів)`
+  ),
   fileTransformPattern(
     'k8s-manifests-schema-modeline-first',
     'schema-modeline-first',

package/rules/k8s/manifests/main.mjs

@@ -1795,6 +1795,32 @@ async function detectGatewayHttpRouteV1beta1InK8sYamlFiles(yamlFiles, root, fail
   }
 }
 
+/**
+ * Read-only детектор: знаходить файли з `apiVersion: batch/v1beta1` (застаріле для CronJob/Job)
+ * і реєструє violation з `data: { kind: 'batch-v1beta1-apiversion' }` для T0-фіксу.
+ * @param {string[]} yamlFiles абсолютні шляхи до YAML-файлів
+ * @param {string} root корінь репозиторію
+ * @param {(msg: string, opts?: object) => void} fail колбек реєстрації порушення
+ * @returns {Promise<void>}
+ */
+async function detectBatchV1beta1InK8sYamlFiles(yamlFiles, root, fail) {
+  for (const abs of yamlFiles) {
+    const rel = (relative(root, abs) || abs).replaceAll('\\', '/')
+    let raw
+    try {
+      raw = await readFile(abs, 'utf8')
+    } catch {
+      continue
+    }
+    if (!BATCH_V1BETA1_API_VERSION_LINE_RE.test(raw)) continue
+    fail(`${rel}: apiVersion: batch/v1beta1 застаріло — оновіть до batch/v1 (k8s.mdc)`, {
+      reason: 'batch-v1beta1-apiversion',
+      file: rel,
+      data: { kind: 'batch-v1beta1-apiversion' }
+    })
+  }
+}
+
 /**
  * Прибирає BOM і ділить на рядки.
  * @param {string} content вміст файлу
@@ -6566,6 +6592,8 @@ export async function lint(ctx) {
 
   await detectGatewayHttpRouteV1beta1InK8sYamlFiles(yamlFiles, root, fail)
 
+  await detectBatchV1beta1InK8sYamlFiles(yamlFiles, root, fail)
+
   // Plan B: пер-документні структурні правила — у rego-полісі `npm/policy/k8s/*`,
   // викликаємо одним батчем на namespace через runConftestBatch. JS нижче робить
   // лише cross-file orchestration, modeline та FS-existence перевірки.

package/rules/k8s/network_policy/network_policy.mdc

@@ -20,3 +20,36 @@ Rego-пакет: `k8s.network_policy`
 **Передача snippets:** через `--data` при виклику conftest (JS передає `templateData` для `runConftestBatch`).
 
 **Примітка:** cross-file визначення `metadata.name` воркнавантаження і мітки `app` — JS (`validateNetworkPolicyForWorkload`).
+
+## Обов'язковість і авто-створення
+
+Для **кожного** workload (**Deployment**, **StatefulSet**, **DaemonSet**, **Job**, **CronJob**) під `k8s` обов'язковий **NetworkPolicy** у **`base/networkpolicy.yaml`** поруч з workload-маніфестом (multi-doc через `---`, якщо workload-ів кілька). Відсутні документи **`check k8s`** створює автоматично (канон і snippet-структура — вище) і додає `networkpolicy.yaml` у `base/kustomization.yaml` `resources:`.
+
+Перевірка/генерація — **`npm/rules/k8s/manifests/main.mjs`** (`validateNetworkPoliciesForK8sWorkloads`, `regenerateLegacyNetworkPolicyDocsInFile`).
+
+## HTTPRoute → NetworkPolicy ingress (GCLB + Envoy)
+
+Якщо в каталозі workload є **`HTTPRoute`** (Gateway API, див. **`gateway.mdc`**) з **`backendRef`** на **`<workload>-hl`** Service, **`check k8s`** автоматично додає в NetworkPolicy цього workload **ingress-правило** з фіксованим набором CIDR-ів і **TCP-портами з `backendRefs[].port`** (дедуп, відсортовано за зростанням).
+
+Без цього правила трафік від **GKE Gateway** (Envoy proxy-only subnet) і **Google health checks** блокується базовим NetworkPolicy.
+
+CIDR-набір зафіксовано (`npm/rules/k8s/manifests/main.mjs`, `NETWORK_POLICY_GCLB_INGRESS_FROM`):
+
+- `35.191.0.0/16` — GCP HC global
+- `130.211.0.0/22` — GCP HC global (legacy)
+- `10.0.0.0/8` — широкий range, покриває proxy-only subnets усіх регіонів GKE
+
+```yaml title="k8s/base/networkpolicy.yaml — workload з HTTPRoute (з GCLB ingress)"
+spec:
+  ingress:
+    - from:
+        - podSelector: {}
+    - from: # auto-added by check k8s for HTTPRoute-paired workloads
+        - ipBlock: { cidr: 35.191.0.0/16 }
+        - ipBlock: { cidr: 130.211.0.0/22 }
+        - ipBlock: { cidr: 10.0.0.0/8 }
+      ports:
+        - { protocol: TCP, port: 8080 }
+```
+
+Алгоритм: функція `collectHttpRouteIngressForWorkload` у **`npm/rules/k8s/manifests/main.mjs`** (mapping `backendRef.name` → `Service.metadata.name` → `service.spec.selector.matchLabels.app`).

package/rules/nginx-default-tpl/http-route/concern.json

@@ -0,0 +1 @@
+{"$schema": "https://unpkg.com/@7n/rules/schemas/concern.json"}

package/rules/nginx-default-tpl/http-route/http-route.mdc

@@ -0,0 +1,54 @@
+## HTTPRoute в k8s — редирект і backendRefs
+
+Якщо в `default.conf.template` були `proxy_pass`-секції — їхню логіку потрібно перенести
+до HTTPRoute в k8s. `default.conf.template` **не повинен** містити жодного proxy (див.
+`nginx-default-tpl/template/template.mdc`).
+
+HTTPRoute має містити два правила:
+
+1. **Exact → RequestRedirect 301 (https)** — редирект з `/$PUBLIC_PATH` на `/$PUBLIC_PATH/`
+2. **PathPrefix → backendRefs:8080** — проксі трафіку на сервіс
+
+```yaml
+spec:
+  rules:
+    - matches:
+        - path:
+            type: Exact
+            value: /$PUBLIC_PATH
+      filters:
+        - type: RequestRedirect
+          requestRedirect:
+            scheme: https
+            path:
+              type: ReplaceFullPath
+              replaceFullPath: /$PUBLIC_PATH/
+            statusCode: 301
+    - matches:
+        - path:
+            type: PathPrefix
+            value: /$PUBLIC_PATH/
+      backendRefs:
+        - name: $SERVICE_NAME
+          port: 8080
+```
+
+де `$PUBLIC_PATH` підставляється з ini-файлу dev-середовища, а для інших середовищ — через `kustomization.yaml`.
+`$SERVICE_NAME` — ім'я k8s-сервісу, що приймає трафік на порту 8080.
+
+Патерн розпізнається функцією `httpRouteMatchesNginxDefaultTpl` у
+`npm/rules/nginx-default-tpl/template/main.mjs`:
+
+- перше правило має `path.type: Exact` і фільтр `RequestRedirect` з `scheme: https`, `path.type: ReplaceFullPath`, `statusCode: 301`
+- друге правило має `path.type: PathPrefix` і `backendRefs` з `port: 8080`
+
+**Статус: реалізовано, але НЕ підключено.** `httpRouteMatchesNginxDefaultTpl` визначена в коді,
+але не викликається з `lint()` у `template/main.mjs` — перевірка HTTPRoute зараз **не входить**
+в активний прогін `nginx-default-tpl`. Причина: щоб увімкнути її безпечно, потрібно ще визначити,
+*коли саме* HTTPRoute з таким патерном є обов'язковим (навряд чи для будь-якого HTTPRoute в
+репозиторії — лише для того, що відповідає сервісу з `default.conf.template`, з якого прибрали
+proxy), і знайти/розпарсити відповідні YAML-файли (на кшталт інфраструктури
+`npm/rules/abie/lib/http-route.mjs` + `findK8sYamlFiles`). Без цього умова спрацьовування
+неоднозначна, а вмикання наосліп ризикує хибними спрацюваннями на репозиторіях зі своїми
+валідними HTTPRoute-патернами. Перш ніж покладатись на автоматичний контроль цього патерну
+або вмикати його в `lint()`, звір з поточним станом `lint()` у `template/main.mjs`.

package/rules/nginx-default-tpl/template/template.mdc

@@ -0,0 +1,152 @@
+## Канонічна структура default.conf.template
+
+`default.conf.template` — єдиний nginx-конфіг для фронтенду зі статичними файлами.
+Він **не повинен** містити жодних `proxy_pass`, `proxy_redirect`, `proxy_set_header`,
+`fastcgi_pass`, `grpc_pass`, `uwsgi_pass`. Усю проксі-логіку потрібно винести в HTTPRoute (k8s).
+
+Канонічний вигляд файлу:
+
+```nginx
+server_tokens off;
+port_in_redirect off;
+client_max_body_size 0;
+client_body_buffer_size 512M;
+
+server {
+    listen 8080;
+    server_name _;
+
+    # disable all log
+    access_log off;
+    # `error_log off;` — НЕ валідний nginx: "off" трактується як ім'я файлу (/etc/nginx/off)
+    # і падає під readOnlyRootFilesystem. /dev/null — writable device.
+    error_log /dev/null crit;
+
+    # This would be the directory where your Vite app's static files are stored at
+    root /usr/share/nginx/html;
+
+    location /healthz {
+        add_header Content-Type text/plain;
+        access_log off;
+        return 200 "healthy";
+    }
+
+    # Без gz стиснених файлів, 1 year is 31536000 seconds
+    location ~ ^$PUBLIC_PATH/(.+\.(?:gif|jpe?g|png|ico|woff2|xlsx))$ {
+        alias /usr/share/nginx/html/$1;
+        add_header 'Cache-Control' "public,max-age=31536000,immutable";
+    }
+
+    # С gz стисненими файлами, 1 year is 31536000 seconds
+    location ~ ^$PUBLIC_PATH/(.+\.(?:svg|js|css|ttf|map|xml|webmanifest|wasm))$ {
+        alias /usr/share/nginx/html/$1;
+        add_header 'Cache-Control' "public,max-age=31536000,immutable";
+
+        # дозволяє віддавати замість звичайного файлу попередньо стиснутий файл з таким же ім'ям та з розширенням ".gz"
+        gzip_static on;
+    }
+
+    location $PUBLIC_PATH/ {
+        index index.html;
+        alias /usr/share/nginx/html/;
+
+        #  eliminates the step of copying the data into the buffer and enables direct copying data from one file descriptor to another.
+        sendfile on;
+        # to prevent one fast connection from entirely occupying the worker process
+        sendfile_max_chunk 512k;
+        # to send HTTP response headers in one packet right after the chunk of data has been obtained by sendfile().
+        tcp_nopush on;
+
+        # дозволяє віддавати замість звичайного файлу попередньо стиснутий файл з таким же ім'ям та з розширенням ".gz"
+        gzip_static on;
+
+        try_files $uri $uri/ /index.html =404;
+    }
+}
+```
+
+Обов'язкові вимоги до структури (перевіряються автоматично, `nginxTemplateViolations` у
+`npm/rules/nginx-default-tpl/template/main.mjs`):
+
+- `server_tokens off` — приховує версію nginx у відповідях
+- `port_in_redirect off` — виключає порт з redirect-заголовків
+- `client_max_body_size 0` — без ліміту тіла запиту
+- `client_body_buffer_size 512M`
+- `listen 8080`
+- `server_name _` — catch-all
+- `access_log off`
+- `error_log /dev/null crit` (НЕ `error_log off;` — це некоректно в nginx)
+- `root /usr/share/nginx/html`
+- `location /healthz` з `return 200` і рядком `healthy`
+- location для статики без gzip (`gif|jpeg|png|ico|woff2|xlsx`) з `Cache-Control: max-age=31536000,immutable`
+- location для статики з gzip (`svg|js|css|ttf|map|xml|webmanifest|wasm`) з `gzip_static on`
+- `gzip_static on` щонайменше двічі (два location зі стисненням)
+- `$PUBLIC_PATH` у location — плейсхолдер підставляється через envsubst
+- `sendfile on`, `sendfile_max_chunk 512k`, `tcp_nopush on`
+- `try_files $uri $uri/ /index.html =404`
+- **Відсутність** будь-якого `proxy_pass` / `fastcgi_pass` / `grpc_pass` / `uwsgi_pass`
+
+## Конфігураційні *.ini файли і envsubst
+
+Поруч з `default.conf.template` мають бути конфігураційні файли `*.ini` для кожного
+середовища (наприклад, `values-dev.ini`, `values-prod.ini`).
+
+Формат ini-файлу:
+
+```ini
+PUBLIC_PATH=/app
+SERVICE_NAME=my-frontend
+```
+
+Кожна змінна з `*.ini` **повинна використовуватись** у `default.conf.template` як `$KEY`
+(через envsubst). Якщо у `*.ini` є ключ, що відсутній у шаблоні — його треба вилучити з ini
+або додати в шаблон.
+
+Перевірки (автоматичні, `checkTemplateFile`/`iniKeysMissingInTemplate` у
+`npm/rules/nginx-default-tpl/template/main.mjs`):
+
+- Поруч з кожним `default.conf.template` є щонайменше один `*.ini` файл
+- Кожен ключ з `*.ini` (рядки виду `KEY=value`, без коментарів `#`/`;` і порожніх рядків)
+  присутній у шаблоні як `$KEY`
+
+## Dockerfile — стиснення статики та envsubst шаблону
+
+Dockerfile потребує двох кроків, пов'язаних з nginx-шаблоном.
+
+### Стиснення статики (gzip_static)
+
+Щоб nginx міг використовувати `gzip_static on`, файли необхідно стиснути під час збирання образу:
+
+```dockerfile
+RUN find /usr/share/nginx/html -type f \( \
+  -name '*.js' -o -name '*.css' -o -name '*.map' -o -name '*.xml' -o \
+  -name '*.webmanifest' -o -name '*.html' -o -name '*.wasm' -o -name '*.ttf' \
+  \) -exec gzip -k {} +
+```
+
+Прапорець `-k` зберігає оригінальний файл поруч зі стиснутим `.gz`.
+
+### envsubst для default.conf.template
+
+Для підстановки змінних середовища у шаблон:
+
+```dockerfile
+# 1) Витягнути імена змінних з ini (ігноруємо коментарі/порожні)
+# 2) Зробити список для envsubst: $NAMESPACE $NAMESPACE2 ...
+# 3) Підвантажити значення з ini і підставити лише їх
+RUN NAMES=$(sed -nE '/^\s*[#;]/d; /^\s*$/d; s/^\s*([A-Za-z_][A-Za-z0-9_]*)\s*=.*/\1/p' /tpl/values-$BRANCH.ini) && \
+ VARS=$(printf '%s\n' $NAMES | awk '{printf "$%s ", $0}') && \
+  export $(grep -v '^#' /tpl/values-$BRANCH.ini | xargs) && \
+  envsubst "$VARS" < /tpl/default.conf.template > /app/default.conf
+```
+
+`/tpl/values-$BRANCH.ini` і `/tpl/default.conf.template` — приклад шляхів у контейнері;
+конкретні шляхи залежать від проєкту, важливі лише сама послідовність кроків і імена
+директив (`envsubst`, `default.conf.template`).
+
+Перевірки (автоматичні, `checkDockerfiles` у `npm/rules/nginx-default-tpl/template/main.mjs`,
+викликається один раз для всього репозиторію — не окремо по кожному `default.conf.template`):
+
+- Десь у репозиторії є Dockerfile/Containerfile, що містить `find … /usr/share/nginx/html … gzip -k` — крок стиснення статики
+- Десь у репозиторії є Dockerfile/Containerfile, що містить `envsubst` і посилання на `default.conf.template`
+- Якщо в репозиторії є `default.conf.template`, але жодного Dockerfile / Containerfile не знайдено — це помилка

package/rules/php/tooling/tooling.mdc

@@ -56,11 +56,12 @@ composer audit
 
 ## Запуск lint-php
 
-`composer`-інструменти не мають єдиного CLI, який сам обходить репозиторій, тому php-лінт делегується у JS-скрипт-обгортку. Запуск — через **`n-rules lint php`** (CI — `--no-fix`); окремого `package.json`-скрипта немає.
+`composer`-інструменти не мають єдиного CLI, який сам обходить репозиторій, тому php-лінт делегується у JS-детектори. Запуск — через **`n-rules lint php`** (CI — `--no-fix`); окремого `package.json`-скрипта немає.
 
-Скрипт `run-php.mjs`:
+Три концерни:
 
-- якщо `composer.json` у корені відсутній — вихід 0 (перевірка пропущена);
-- якщо `composer.json` є, але `composer` не знайдено в PATH — це помилка;
-- `composer audit` — обовʼязковий;
-- `vendor/bin/php-cs-fixer`, `vendor/bin/phpcs`, `vendor/bin/phpstan`, `vendor/bin/psalm` — запускаються лише якщо встановлені (інакше крок пропускається з повідомленням).
+- `npm/rules/php/project/main.mjs` — `composer audit` (обовʼязковий) + PHPStan + Psalm; project-wide, поза delta-планом (лише `n-rules lint --full` або scoped `n-rules lint php`);
+- `npm/rules/php/phpcs/main.mjs` — `vendor/bin/phpcs --standard=Security`; per-file;
+- `npm/rules/php/cs_fixer/main.mjs` — `vendor/bin/php-cs-fixer fix --dry-run --diff`; per-file.
+
+Якщо `composer.json` у корені відсутній — усі концерни виходять без порушень (проєкт не PHP). Якщо `composer.json` є, але `composer` не знайдено в PATH — це помилка. `vendor/bin/php-cs-fixer`, `vendor/bin/phpcs`, `vendor/bin/phpstan`, `vendor/bin/psalm` — запускаються лише якщо встановлені (інакше крок пропускається з повідомленням).

package/rules/python/pyproject_toml/pyproject_toml.mdc

@@ -8,6 +8,22 @@ Rego-пакет: `python.pyproject_toml`
 
 **1. Заборона Poetry** — перевіряє заборонені під-таблиці `[tool.*]` за deny-template (drift-safe через `--data template`): [pyproject.toml.deny.toml](./template/pyproject.toml.deny.toml)
 
-**2. PEP 621** — `[project].name` і `[project].version` мають бути непорожніми рядками.
+**2. PEP 621** — метадані проєкту мають бути у секції **`[project]`** (PEP 621), а **не** в `[tool.poetry]`. Обовʼязкові поля:
+
+- `[project].name` — назва пакета (непорожній рядок);
+- `[project].version` — статична версія (непорожній рядок);
+- `[project].requires-python` — мінімальна версія Python (наприклад `>=3.12`);
+- `[project].dependencies` — залежності (навіть порожній список `[]`).
 
 Канонічний цільовий вигляд: [pyproject.toml.snippet.toml](./template/pyproject.toml.snippet.toml)
+
+## Залежності та lock-файл (uv)
+
+Залежності додаються командою `uv add <pkg>`; dev-залежності — `uv add --dev <pkg>`. Lock-файл — **`uv.lock`** (іде в коміт, оновлюється командою `uv lock`).
+
+## Міграція з Poetry на uv
+
+1. Прибери `[tool.poetry]` і `poetry.lock` / `poetry.toml`.
+2. Перенеси метадані в `[project]` (name, version, requires-python, dependencies) за PEP 621.
+3. Згенеруй lock: `uv lock` → `uv.lock`.
+4. Dev-залежності: `uv add --dev ruff mypy …`.

package/rules/python/tooling/tooling.mdc

@@ -1,6 +1,6 @@
 ## Перевірка наявності uv-toolchain і відсутності Poetry
 
-JS-перевірка (`js/tooling.mjs`) запускається, якщо в корені репо є `pyproject.toml`. Перевіряє:
+JS-перевірка (`npm/rules/python/tooling/main.mjs`) запускається, якщо в корені репо є `pyproject.toml`. Перевіряє:
 
 - `uv.lock` — має існувати (зафіксувати командою `uv lock`);
 - `poetry.lock` / `poetry.toml` — мають **бути відсутніми** (Poetry заборонено);
@@ -9,15 +9,14 @@ JS-перевірка (`js/tooling.mjs`) запускається, якщо в
 
 Якщо `pyproject.toml` відсутній — перевірка пропускається з кодом 0 (проєкт не Python).
 
-## lint-python: JS-скрипт-обгортка
+## lint-python: JS-детектори за concern
 
-Інструменти uv-екосистеми не мають єдиного CLI-обходу репо, тому python-лінт делегується у JS-скрипт-обгортку. Запуск — через **`n-rules lint python`** (CI — `--no-fix`); окремого `package.json`-скрипта немає.
+Інструменти uv-екосистеми не мають єдиного CLI-обходу репо, тому python-лінт делегується у JS-детектори. Запуск — через **`n-rules lint python`** (CI — `--no-fix`); окремого `package.json`-скрипта немає.
 
-Скрипт `rules/python/lint/lint.mjs`:
+Три концерни (кожен — окремий per-file чи project-wide детектор):
 
-- якщо `pyproject.toml` у корені відсутній — вихід 0 (перевірка пропущена);
-- якщо `pyproject.toml` є, але `uv` не знайдено в PATH — це помилка;
-- `uv lock --check` і `uv sync --frozen` — обовʼязкові;
-- `uv run ruff check --fix .` + `uv run ruff format .` — auto-fix (мутують робоче дерево, як `markdownlint-cli2 --fix` у lint-text);
-- `uv run mypy .` — статична перевірка типів;
-- усі `ruff`/`mypy`-кроки запускаються лише якщо інструмент доступний у середовищі (інакше крок пропускається з повідомленням).
+- `npm/rules/python/project/main.mjs` — `uv lock --check` + `uv sync --frozen` + ліцензійний аудит (`pip-licenses`); project-wide, поза delta-планом (лише `n-rules lint --full` або scoped `n-rules lint python`);
+- `npm/rules/python/ruff/main.mjs` (+ `fix-ruff.mjs`) — `ruff check` + `ruff format --check` (детект), `ruff check --fix` + `ruff format` (autofix); per-file;
+- `npm/rules/python/mypy/main.mjs` — `mypy` (лише детект, немає autofix); per-file.
+
+Якщо `pyproject.toml` у корені відсутній — усі концерни виходять без порушень (проєкт не Python). Якщо `pyproject.toml` є, але `uv` не знайдено в PATH — це помилка. `ruff`/`mypy`-кроки запускаються лише якщо інструмент доступний у середовищі (інакше крок пропускається з повідомленням).

package/rules/rego/main.mdc

@@ -9,6 +9,20 @@ alwaysApply: false
 
 Синтаксичні правила (`rego.v1`, `import rego.v1`, заборона legacy v0) — у `conftest.mdc` (alwaysApply). Цей файл — про **інструментарій**: VS Code, лінтери, форматування.
 
+## Лінт-пайплайн (opa → regal → conftest)
+
+```bash
+n-rules lint rego
+```
+
+Цілі — `npm/rules/` (рекурсивно знаходить `.rego` у `<rule>/<concern>/`). Три незалежні per-file-детектори (кожен свій concern), у такому порядку:
+
+1. **`opa check --strict`** (`npm/rules/rego/opa_check/`) — компіляція з типами і строгим режимом: ловить мертвий код, неоднозначні правила, незадекларовані змінні. Зупиняє відповідний крок при помилці.
+2. **`regal lint`** (`npm/rules/rego/regal/`) — статичний лінтер: v0-синтаксис, неявні set-rules, відхилення від `rego.v1`, bugs/idiomatic/performance-правила.
+3. **`conftest verify`** (`npm/rules/rego/conftest_verify/`) — виконує `test_*` правила у `*_test.rego`. Крос-package (`import data.<pkg>`), тож коректний лише на всьому `npm/rules`; не входить у delta-план — спрацьовує лише через `n-rules lint --full` або scoped `n-rules lint rego`. Якщо `conftest` відсутній у `PATH` — пропускається без помилки.
+
+`opa` і `regal` — лише у `PATH`, **не** додавай у `dependencies` / `devDependencies` (toolchain-інструменти, як і в інших мовних правилах цього репо). Це механічно перевіряється Rego-gate'ом `rego.package_json` (`npm/rules/rego/package_json/`) — deny, якщо `opa` чи `regal` з'являються у будь-якій секції залежностей `package.json`.
+
 ## Швидкий gate через conftest
 
 | Пакет | Ціль | Що перевіряє |

package/rules/rust/check/check.mdc

@@ -0,0 +1,16 @@
+## Лінт Rust: rustfmt + clippy + cargo-deny
+
+**rustfmt** ([rust-lang/rustfmt](https://github.com/rust-lang/rustfmt)) — форматер; **clippy** ([rust-lang/rust-clippy](https://github.com/rust-lang/rust-clippy)) — лінтер; **cargo-deny** — перевірка ліцензій залежностей. Запуск — через **`n-rules lint rust`** (detector `npm/rules/rust/check/main.mjs`, autofix `npm/rules/rust/check/fix-check.mjs`):
+
+- **read-only (детект, CI):** `cargo fmt --all -- --check` → `cargo clippy --all-targets --all-features -- -D warnings` → (за наявності `deny.toml` і встановленого `cargo-deny`) `cargo deny check licenses`.
+- **`fix` (локально):** `cargo fmt --all` (реальне форматування) і, якщо `deny.toml` відсутній та `cargo-deny` встановлено, `cargo deny init` для генерації канонічного файлу.
+
+`clippy` **не** автофіксимо (`--fix` потенційно небезпечний і може прибрати навмисний код) — clippy-порушення йдуть у LLM-ladder, а не в детермінований autofix.
+
+Без `Cargo.toml` у cwd — no-op (exit 0). Окремого `package.json`-скрипта немає.
+
+`cargo`, `rustfmt`, `clippy`, `cargo-deny` **не додавай** у `devDependencies` — це Rust toolchain, ставиться через `rustup`/`cargo install` локально або через `dtolnay/rust-toolchain@stable` у CI.
+
+### Канон CI workflow `.github/workflows/lint-rust.yml`
+
+Канонічний workflow, drift-safe перевірка (`rust.lint_rust_yml`) і вимога `Swatinem/rust-cache@v2` — `npm/rules/rust/lint_rust_yml/lint_rust_yml.mdc`. Тут лише сам лінт-скрипт; CI-канон workflow **не дублюється**.