@7n/rules 1.7.5 → 1.8.0

package/CHANGELOG.md

@@ -1,5 +1,17 @@
 # Changelog
 
+## [1.8.0] - 2026-07-16
+
+### Added
+
+- js/check: T0-фікс для .oxlintrc.json (копіювання/merge канону без LLM-ладдер)
+
+## [1.7.6] - 2026-07-16
+
+### Fixed
+
+- Прибрано борг self-lint: `CLAUDE.md`-генератор вставляв список без порожнього рядка перед ним (MD032); дедуплікація `collectCapabilityPermissionIds` (tauri/tool_surface ↔ tauri/updater) та скелета "обхід тестових файлів" (test/no-console-store-restore ↔ test/vitest-api-conventions, винесено у test/lib/collect-test-file-offenders.mjs)
+
 ## [1.7.5] - 2026-07-16
 
 ### Fixed

package/bin/n-rules.js

@@ -819,7 +819,7 @@ async function syncClaudeMd(ignore) {
   const lines = [`<!-- Цей файл генерується автоматично через \`npx ${PACKAGE_NAME}\`. Не редагуй вручну. -->`, '']
 
   if (Array.isArray(ignore) && ignore.length > 0) {
-    lines.push('## Захищені директорії', '', 'Ніколи не змінюй, не видаляй і не створюй файли у цих директоріях:')
+    lines.push('## Захищені директорії', '', 'Ніколи не змінюй, не видаляй і не створюй файли у цих директоріях:', '')
     for (const dir of ignore) {
       let d = dir
       while (d.endsWith('/')) d = d.slice(0, -1)

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules",
-  "version": "1.7.5",
+  "version": "1.8.0",
   "description": "CLI еталонних правил і skills (префікс n-): синк у репозиторій, дельта-lint, конформність",
   "keywords": [
     "cli",

package/rules/js/check/docs/fix-check.md

@@ -3,29 +3,46 @@ type: JS Module
 title: fix-check.mjs
 resource: npm/rules/js/check/fix-check.mjs
 docgen:
-  crc: e3214d8e
+  crc: 48182147
   model: manual
 ---
 
 ## Огляд
 
-T0-autofix для `js/check`: детермінований scaffold/merge `eslint.config.js` за
-планом `planEslintConfigFix` (детекція воркспейс-типів node/vue). Раніше ці
-порушення йшли у LLM-ладдер, який переписував конфіг цілком і вгадував типи
-(інцидент: у vue-монорепо записано `getConfig({ node: ['npm'] })` — eslint перестав
-обробляти .vue файли).
+T0-autofix для `js/check`: два детерміновані патерни, обидва без LLM.
+
+- `js-check-eslint-config` — scaffold/merge `eslint.config.js` за планом
+  `planEslintConfigFix` (детекція воркспейс-типів node/vue). Раніше ці
+  порушення йшли у LLM-ладдер, який переписував конфіг цілком і вгадував типи
+  (інцидент: у vue-монорепо записано `getConfig({ node: ['npm'] })` — eslint
+  перестав обробляти .vue файли).
+- `js-check-oxlintrc` — scaffold/merge `.oxlintrc.json` за планом
+  `planOxlintrcFix` (`../tooling/main.mjs`). Раніше ці порушення теж йшли у
+  LLM-ладдер: 15 КБ канону дешева модель не відтворює byte-perfect (verify
+  fail), а дорожча не встигає за один rung-таймаут.
 
 ## Поведінка
 
-- Патерн `js-check-eslint-config` тригериться лише на reason-и
-  `eslint-config-missing` / `eslint-config-ignores` / `eslint-config-vue-workspace`;
-  решта порушень `js/check` (engines, workflows, oxlintrc) ідуть стандартним шляхом.
-- `apply` перераховує план із поточного стану диска (ідемпотентно): відсутній
-  конфіг — створюється з детектованими типами; наявний — зазнає хірургічного merge,
-  без повного перезапису. Перед записом викликається `ctx.recordWrite`.
-- Якщо план порожній (`null`) — жодних змін (`touchedFiles: []`).
+- `js-check-eslint-config` тригериться на reason-и `eslint-config-missing` /
+  `eslint-config-ignores` / `eslint-config-vue-workspace`. `apply` перераховує
+  план із поточного стану диска (ідемпотентно): відсутній конфіг —
+  створюється з детектованими типами; наявний — зазнає хірургічного merge, без
+  повного перезапису. Якщо план порожній (`null`) — жодних змін
+  (`touchedFiles: []`).
+- `js-check-oxlintrc` тригериться на reason-и `oxlintrc-missing` /
+  `oxlintrc-drift` (`OXLINTRC_MISSING` / `OXLINTRC_DRIFT` з `../tooling/main.mjs`).
+  `apply` читає наявний `.oxlintrc.json` (`null`, якщо відсутній або невалідний
+  JSON) і канон, будує злитий обʼєкт через `planOxlintrcFix` і перезаписує
+  файл цілком (JSON, 2-space, з кінцевим переносом рядка).
+- Решта порушень `js/check` (engines, workflows) — поза цим T0, стандартний
+  шлях (ladder/manual).
+- Обидва патерни викликають `ctx.recordWrite` перед записом (pre-image для
+  central rollback).
 
 ## Гарантії поведінки
 
-- Записує лише один файл — `eslint.config.js`/`eslint.config.mjs` у корені репо.
-- Наявний конфіг ніколи не перезаписується цілком — тільки точкові вставки/заміни.
+- `js-check-eslint-config` записує лише `eslint.config.js`/`eslint.config.mjs`
+  у корені репо; наявний конфіг ніколи не перезаписується цілком — тільки
+  точкові вставки/заміни.
+- `js-check-oxlintrc` записує лише `.oxlintrc.json` у корені репо; результат
+  завжди проходить `verifyOxlintRcAgainstCanonical` без ручного втручання.

package/rules/js/check/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/js/check/main.mjs
 docgen:
-  crc: 0b9c8a32
+  crc: 128c6700
   model: manual
 ---
 
@@ -27,7 +27,10 @@ Detector concern-а `js/check`: read-only перевірка відповідн
   `engines.bun >= 1.3` (кореневий `package.json` валідує Rego
   `npm/policy/js_lint/package_json/`).
 - `.oxlintrc.json`: існує, валідний JSON, збігається з каноном oxlint із пакета
-  `@7n/rules`.
+  `@7n/rules` (`verifyOxlintRcAgainstCanonical` з `../tooling/main.mjs`).
+  Відсутність — reason `oxlintrc-missing`, розходження з каноном — reason
+  `oxlintrc-drift` (константи `OXLINTRC_MISSING`/`OXLINTRC_DRIFT`); обидва
+  детерміновано виправляє T0 `fix-check.mjs` (патерн `js-check-oxlintrc`).
 - `.github/workflows/lint-js.yml`: існує; `lint.yml` (якщо є) не дублює
   oxlint/eslint/jscpd кроки.
 - `knip.json`: якщо відсутній — копіюється канонічний baseline із пакета

package/rules/js/check/fix-check.mjs

@@ -1,18 +1,29 @@
 /** @see ./docs/fix-check.md */
 
 /**
- * T0-autofix для `js/check` — детермінований scaffold/merge `eslint.config.js`.
- * Раніше ці порушення йшли у LLM-ладдер, який переписував конфіг цілком і
- * вгадував воркспейс-типи (інцидент: у vue-монорепо записано
- * `getConfig({ node: ['npm'] })` — eslint перестав обробляти .vue файли).
- * Тепер джерело правди — `planEslintConfigFix` (детекція типів із workspaces
- * root package.json + vue-залежність/.vue-файли), а наявний конфіг оновлюється точковим merge
- * хірургічно, без повного перезапису.
+ * T0-autofix для `js/check` — детермінований scaffold/merge `eslint.config.js`
+ * і `.oxlintrc.json`. Раніше обидва йшли у LLM-ладдер, який переписував конфіги
+ * цілком: для eslint.config.js це вгадувало воркспейс-типи (інцидент: у
+ * vue-монорепо записано `getConfig({ node: ['npm'] })` — eslint перестав
+ * обробляти .vue файли), а для .oxlintrc.json — 15 КБ канону, який дешевій
+ * моделі не відтворити byte-perfect (verify fail), а дорожчій — не встигнути
+ * за один rung-таймаут.
  *
- * Решта порушень js/check (engines, workflows, oxlintrc) — поза цим T0,
- * стандартний шлях (ladder/manual).
+ * Джерело правди для eslint.config.js — `planEslintConfigFix` (детекція типів
+ * із workspaces root package.json + vue-залежність/.vue-файли), наявний конфіг
+ * оновлюється точковим merge хірургічно, без повного перезапису.
+ *
+ * Джерело правди для .oxlintrc.json — `planOxlintrcFix`, що дзеркалить
+ * `verifyOxlintRcAgainstCanonical`: відсутній файл копіює канон, наявний —
+ * доповнюється до канону без втрати project-specific розширень (зайві
+ * `rules`-ключі й `ignorePatterns` зберігаються).
+ *
+ * Решта порушень js/check (engines, workflows) — поза цим T0, стандартний шлях
+ * (ladder/manual).
  */
-import { writeFile } from 'node:fs/promises'
+import { existsSync } from 'node:fs'
+import { readFile, writeFile } from 'node:fs/promises'
+import { join } from 'node:path'
 
 import {
   ESLINT_CONFIG_IGNORES,
@@ -20,14 +31,31 @@ import {
   ESLINT_CONFIG_VUE_WORKSPACE,
   planEslintConfigFix
 } from './eslint-config.mjs'
+import { OXLINT_CANONICAL_JSON_PATH, OXLINTRC_DRIFT, OXLINTRC_MISSING, planOxlintrcFix } from '../tooling/main.mjs'
 
-const TRIGGER_REASONS = new Set([ESLINT_CONFIG_MISSING, ESLINT_CONFIG_IGNORES, ESLINT_CONFIG_VUE_WORKSPACE])
+const ESLINT_CONFIG_REASONS = new Set([ESLINT_CONFIG_MISSING, ESLINT_CONFIG_IGNORES, ESLINT_CONFIG_VUE_WORKSPACE])
+const OXLINTRC_REASONS = new Set([OXLINTRC_MISSING, OXLINTRC_DRIFT])
+
+/**
+ * Читає `.oxlintrc.json`, якщо є й валідний JSON; інакше `null` (трактується
+ * як відсутній файл — `planOxlintrcFix` будує з канону).
+ * @param {string} oxPath абсолютний шлях до `.oxlintrc.json`
+ * @returns {Promise<unknown>} розпарсений вміст або `null`
+ */
+async function readOxlintrcOrNull(oxPath) {
+  if (!existsSync(oxPath)) return null
+  try {
+    return JSON.parse(await readFile(oxPath, 'utf8'))
+  } catch {
+    return null
+  }
+}
 
 /** @type {import('../../../scripts/lib/lint-surface/types.mjs').T0Pattern[]} */
 export const patterns = [
   {
     id: 'js-check-eslint-config',
-    test: violations => violations.some(v => TRIGGER_REASONS.has(v.reason)),
+    test: violations => violations.some(v => ESLINT_CONFIG_REASONS.has(v.reason)),
     apply: async (violations, ctx) => {
       const plan = await planEslintConfigFix(ctx.cwd)
       if (plan === null) return { touchedFiles: [] }
@@ -35,5 +63,20 @@ export const patterns = [
       await writeFile(plan.path, plan.content, 'utf8')
       return { touchedFiles: [plan.path], message: plan.message }
     }
+  },
+  {
+    id: 'js-check-oxlintrc',
+    test: violations => violations.some(v => OXLINTRC_REASONS.has(v.reason)),
+    apply: async (violations, ctx) => {
+      const oxPath = join(ctx.cwd, '.oxlintrc.json')
+      const [actual, canonicalRaw] = await Promise.all([
+        readOxlintrcOrNull(oxPath),
+        readFile(OXLINT_CANONICAL_JSON_PATH, 'utf8')
+      ])
+      const merged = planOxlintrcFix(actual, JSON.parse(canonicalRaw))
+      ctx.recordWrite?.(oxPath)
+      await writeFile(oxPath, `${JSON.stringify(merged, null, 2)}\n`, 'utf8')
+      return { touchedFiles: [oxPath], message: '.oxlintrc.json: T0 merge до канону oxlint (@7n/rules)' }
+    }
   }
 ]

package/rules/js/check/main.mjs

@@ -8,6 +8,8 @@ import { createViolationReporter } from '../../../scripts/lib/lint-surface/viola
 import {
   KNIP_CANONICAL_JSON_PATH,
   OXLINT_CANONICAL_JSON_PATH,
+  OXLINTRC_DRIFT,
+  OXLINTRC_MISSING,
   verifyOxlintRcAgainstCanonical
 } from '../tooling/main.mjs'
 
@@ -206,7 +208,7 @@ async function checkPackageJsonJsLint(passFn, failFn, cwd) {
 async function checkOxlintRc(passFn, failFn, cwd) {
   const oxPath = join(cwd, '.oxlintrc.json')
   if (!existsSync(oxPath)) {
-    failFn('.oxlintrc.json не існує — додай конфіг oxlint (js.mdc)')
+    failFn('.oxlintrc.json не існує — додай конфіг oxlint (js.mdc)', OXLINTRC_MISSING)
     return
   }
   let oxCfg
@@ -229,7 +231,7 @@ async function checkOxlintRc(passFn, failFn, cwd) {
     passFn('.oxlintrc.json збігається з каноном oxlint (@7n/rules)')
   } else {
     for (const msg of oxV.failures) {
-      failFn(msg)
+      failFn(msg, OXLINTRC_DRIFT)
     }
   }
 }

package/rules/js/eslint/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/js/eslint/main.mjs
 docgen:
-  crc: 0d2a5e02
+  crc: fa1753b7
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
   score: 100
   issues: judge:inaccurate:0.99

package/rules/js/tooling/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/js/tooling/main.mjs
 docgen:
-  crc: da55182a
+  crc: 76437b89
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
   score: 100
   issues: judge:inaccurate:0.98
@@ -12,20 +12,42 @@ docgen:
 
 ## Огляд
 
-Властивості, що визначають шляхи до канонічних JSON-конфігурацій для `oxlint` та `knip` доступні через `OXLINT_CANONICAL_JSON_PATH` та `KNIP_CANONICAL_JSON_PATH`. Модуль надає можливість перевірити, чи відповідають конфігурації, визначені у `.oxlintrc.json`, офіційним стандартам, описаним у `oxlint-canonical.json`, за допомогою функції `verifyOxlintRcAgainstCanonical`. Також може бути здійснена валідація згідно з конфігурацією `knip-canonical.json`.
+Шляхи до канонічних JSON-конфігурацій для `oxlint` та `knip` доступні через
+`OXLINT_CANONICAL_JSON_PATH` та `KNIP_CANONICAL_JSON_PATH`. Модуль перевіряє,
+чи відповідає `.oxlintrc.json` канону (`verifyOxlintRcAgainstCanonical`), і
+будує детермінований merge до канону (`planOxlintrcFix`) — джерело правди для
+T0-автофіксу `js/check` (`fix-check.mjs`), без LLM.
 
 ## Поведінка
 
-OXLINT_CANONICAL_JSON_PATH — надає шлях до канонічного конфігураційного файлу oxlint.
-KNIP_CANONICAL_JSON_PATH — надає шлях до канонічного конфігураційного файлу knip.
-verifyOxlintRcAgainstCanonical — перевіряє, чи відповідає конфігураційний файл .oxlintrc.json канонічним стандартам, порівнюючи його з конфігураціями oxlint-canonical.json.
+- `OXLINT_CANONICAL_JSON_PATH` / `KNIP_CANONICAL_JSON_PATH` — шляхи до
+  канонічних JSON-конфігів `oxlint`/`knip` у цьому пакеті.
+- `OXLINTRC_MISSING` / `OXLINTRC_DRIFT` — стабільні reason-коди для
+  порушень `.oxlintrc.json` (відсутній файл / розходження з каноном),
+  які `js/check` проставляє через `createViolationReporter`, а T0-патерн
+  `js-check-oxlintrc` розпізнає для автофіксу.
+- `verifyOxlintRcAgainstCanonical(cfg, canonical)` — звіряє `.oxlintrc.json`
+  проти канону: усі `rules`-ключі канону мають точний збіг значення (зайві
+  локальні ключі дозволені), `ignorePatterns` канону мають бути присутні
+  (локальні розширення дозволені), решта полів — точний глибокий збіг.
+- `planOxlintrcFix(actual, canonical)` — чиста функція, що дзеркалить
+  правила `verifyOxlintRcAgainstCanonical` у зворотний бік: будує обʼєкт
+  `.oxlintrc.json`, який гарантовано проходить повторну перевірку.
+  Відсутній `actual` (`null`) трактується як порожній файл — результат
+  дорівнює канону. Наявний `actual` доповнюється до канону без втрати
+  project-specific розширень: зайві `rules`-ключі й `ignorePatterns`
+  зберігаються, а канонічні `rules`-значення й поля верхнього рівня
+  перезаписуються канонічними (єдине валідне значення для перевірки).
 
 ## Публічний API
 
-- OXLINT_CANONICAL_JSON_PATH — Вказує на основний конфіг `oxlint` для підтвердження коректності в цьому пакеті.
-- KNIP_CANONICAL_JSON_PATH — Вказує на основний конфіг `knip`, який автоматично додається до кореня проєкту-споживача, якщо його там немає.
-- verifyOxlintRcAgainstCanonical — Порівнює конфігураційний файл `.oxlintrc.json` із канонічною версією, переконавшись, що всі правила з канону присутні, а інші поля відповідають.
+- `OXLINT_CANONICAL_JSON_PATH` — шлях до канонічного конфігу `oxlint` для перевірки/T0-фіксу.
+- `KNIP_CANONICAL_JSON_PATH` — шлях до канонічного конфігу `knip`, що копіюється у корінь проєкту-споживача, якщо відсутній.
+- `OXLINTRC_MISSING` / `OXLINTRC_DRIFT` — reason-коди порушень `.oxlintrc.json`.
+- `verifyOxlintRcAgainstCanonical(cfg, canonical)` → `{ ok, failures }` — перевірка `.oxlintrc.json` проти канону.
+- `planOxlintrcFix(actual, canonical)` → злитий обʼєкт `.oxlintrc.json` — детермінований T0-фікс без LLM.
 
 ## Гарантії поведінки
 
-- Read-only: не виконує операцій запису (ФС/БД).
+- Read-only: не виконує операцій запису (ФС/БД); запис у `.oxlintrc.json` — відповідальність виклику (T0 `fix-check.mjs`).
+- `planOxlintrcFix` — чиста функція без side effects; той самий вхід завжди дає той самий вихід.

package/rules/js/tooling/main.mjs

@@ -18,6 +18,11 @@ export const KNIP_CANONICAL_JSON_PATH = join(
   'knip-canonical.json'
 )
 
+/** `.oxlintrc.json` відсутній — T0 копіює канон (`fix-check.mjs`). */
+export const OXLINTRC_MISSING = 'oxlintrc-missing'
+/** `.oxlintrc.json` існує, але розходиться з каноном — T0 доводить до відповідності детермінованим merge. */
+export const OXLINTRC_DRIFT = 'oxlintrc-drift'
+
 // Канонічний рядок `lint-js`-скрипта і мінімальна версія `@nitra/eslint-config` —
 // у rego (`npm/policy/js_lint/package_json/`). JS-копії (`CANONICAL_LINT_JS`,
 // `isCanonicalLintJs`, `nitraEslintConfigMeetsMinVersion`) видалено, щоб не
@@ -147,3 +152,32 @@ export function verifyOxlintRcAgainstCanonical(cfg, canonical) {
 
   return { ok: failures.length === 0, failures }
 }
+
+/**
+ * Детермінований merge `.oxlintrc.json` до відповідності канону (T0 `fix-check.mjs`) —
+ * дзеркалить правила `verifyOxlintRcAgainstCanonical`, тож результат завжди проходить
+ * повторну перевірку без LLM. Project-specific розширення зберігаються: зайві ключі в
+ * `rules` і зайві `ignorePatterns` не видаляються, лише доповнюються канонічними.
+ * @param {unknown} actual поточний вміст `.oxlintrc.json` (`null`/будь-що не-object — трактується як відсутній файл)
+ * @param {Record<string, unknown>} canonical розпарсений `oxlint-canonical.json`
+ * @returns {Record<string, unknown>} злитий обʼєкт, готовий до запису у `.oxlintrc.json`
+ */
+export function planOxlintrcFix(actual, canonical) {
+  const merged = { ...asRecordOrEmpty(actual) }
+  for (const [key, expected] of Object.entries(canonical)) {
+    if (key === 'rules') {
+      merged.rules = { ...asRecordOrEmpty(merged.rules), ...asRecordOrEmpty(expected) }
+      continue
+    }
+    if (key === 'ignorePatterns') {
+      const existing = Array.isArray(merged.ignorePatterns) ? merged.ignorePatterns : []
+      const canonPatterns = Array.isArray(expected) ? expected : []
+      merged.ignorePatterns = [...existing, ...canonPatterns.filter(p => !existing.includes(p))]
+      continue
+    }
+    // Інші поля вимагають точного збігу з каноном (verifyOxlintRcAgainstCanonical) —
+    // єдине валідне значення й так канонічне, тож перезапис безпечний.
+    merged[key] = expected
+  }
+  return merged
+}

package/rules/tauri/tool_surface/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/tauri/tool_surface/main.mjs
 docgen:
-  crc: 87b28b8d
+  crc: 35ae08a5
 ---
 
 ## Огляд

package/rules/tauri/tool_surface/main.mjs

@@ -6,7 +6,7 @@ import { join } from 'node:path'
 import { globby } from 'globby'
 
 import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
-import { findTauriAppWorkspaces, groupCargoDepsBySection } from '../updater/main.mjs'
+import { collectCapabilityPermissionIds, findTauriAppWorkspaces, groupCargoDepsBySection } from '../updater/main.mjs'
 
 /** JS торкається плагіна, але crate відсутній у `src-tauri/Cargo.toml`. */
 export const PLUGIN_DEP_MISSING = 'tool-surface-plugin-dep-missing'
@@ -43,32 +43,6 @@ async function collectPluginUsages(srcDir) {
   return slugs
 }
 
-/**
- * Збирає всі permission-ідентифікатори з `capabilities/*.json` workspace-каталогу.
- * @param {string} capDir абсолютний шлях до каталогу capabilities
- * @returns {Promise<Set<string>>} множина permission-ідентифікаторів
- */
-async function collectCapabilityPermissionIds(capDir) {
-  const ids = new Set()
-  if (!existsSync(capDir)) return ids
-
-  const files = await globby('*.json', { cwd: capDir, onlyFiles: true, gitignore: false })
-  for (const file of files) {
-    let cap
-    try {
-      cap = JSON.parse(await readFile(join(capDir, file), 'utf8'))
-    } catch {
-      continue
-    }
-    const perms = Array.isArray(cap.permissions) ? cap.permissions : []
-    for (const p of perms) {
-      const id = typeof p === 'string' ? p : p?.identifier
-      if (id) ids.add(id)
-    }
-  }
-  return ids
-}
-
 /**
  * Перевіряє один workspace: кожен Tauri-плагін, якого JS торкається через
  * wrapper-пакет `@tauri-apps/plugin-*` чи прямий `invoke('plugin:...')`, має бути

package/rules/tauri/updater/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/tauri/updater/main.mjs
 docgen:
-  crc: f85675d3
+  crc: d08660a5
   model: openai-codex/gpt-5.4-mini
   score: 100
   issues: judge:inaccurate:0.98

package/rules/tauri/updater/main.mjs

@@ -256,9 +256,10 @@ async function checkLibRs(ws, cwd, reporter) {
  * @param {string} capDir абсолютний шлях до каталогу capabilities
  * @returns {Promise<Set<string>>} множина permission-ідентифікаторів
  */
-async function collectCapabilityPermissionIds(capDir) {
-  const files = await globby('*.json', { cwd: capDir, onlyFiles: true, gitignore: false })
+export async function collectCapabilityPermissionIds(capDir) {
   const ids = new Set()
+  if (!existsSync(capDir)) return ids
+  const files = await globby('*.json', { cwd: capDir, onlyFiles: true, gitignore: false })
   for (const file of files) {
     let cap
     try {

package/rules/test/lib/collect-test-file-offenders.mjs

@@ -0,0 +1,49 @@
+/** @see ../docs/collect-test-file-offenders.md */
+import { readFile } from 'node:fs/promises'
+import { basename, relative } from 'node:path'
+
+import { loadCursorIgnorePaths } from '../../../scripts/lib/load-cursor-config.mjs'
+import { walkDir } from '../../../scripts/utils/walkDir.mjs'
+
+/**
+ * Чи файл — JS-тест (`*.test.mjs` / `*.test.js`).
+ * @param {string} absPath абсолютний шлях
+ * @returns {boolean} `true` для `.test.{mjs,js}` файлів
+ */
+export function isTestFile(absPath) {
+  const name = basename(absPath)
+  return name.endsWith('.test.mjs') || name.endsWith('.test.js')
+}
+
+/**
+ * Обходить репо (поважаючи `.n-rules.json:ignore`), збирає `*.test.{mjs,js}` файли
+ * і прогонить кожен через `findOffenders(body)` — спільний скелет для per-file
+ * regex/parse-based test-конвенцій (напр. `no-console-store-restore`, `vitest-api-conventions`).
+ * @param {string} cwd корінь репозиторію
+ * @param {(body: string) => Array<{line: number}>} findOffenders детектор порушень у тілі файлу
+ * @returns {Promise<{ testFiles: string[], offenders: Array<{file: string, line: number}> }>} усі тестові файли й знайдені порушення (з relative-шляхом)
+ */
+export async function collectTestFileOffenders(cwd, findOffenders) {
+  const ignorePaths = await loadCursorIgnorePaths(cwd)
+
+  /** @type {string[]} */
+  const testFiles = []
+  await walkDir(
+    cwd,
+    absPath => {
+      if (isTestFile(absPath)) testFiles.push(absPath)
+    },
+    ignorePaths
+  )
+
+  /** @type {Array<{file: string, line: number}>} */
+  const offenders = []
+  for (const absPath of testFiles) {
+    const body = await readFile(absPath, 'utf8')
+    for (const o of findOffenders(body)) {
+      offenders.push({ file: relative(cwd, absPath), ...o })
+    }
+  }
+
+  return { testFiles, offenders }
+}

package/rules/test/lib/docs/collect-test-file-offenders.md

@@ -0,0 +1,30 @@
+---
+type: JS Module
+title: collect-test-file-offenders.mjs
+resource: npm/rules/test/lib/collect-test-file-offenders.mjs
+docgen:
+  crc: d1c3db48
+  model: openai-codex/gpt-5.4-mini
+  tier: cloud-min
+  score: 100
+  issues: judge:inaccurate:0.98
+  judgeModel: openai-codex/gpt-5.4-mini
+---
+
+## Огляд
+
+Файл знаходить JS-тести `*.test.mjs` і `*.test.js` у репозиторії з урахуванням `.n-rules.json` та повертає для кожного з них відносні шляхи до offenders. Це дає змогу окремо перевіряти, які саме тестові файли виходять за межі правил проєкту, без додаткового парсингу чи нормалізації результату.
+
+## Поведінка
+
+- `isTestFile` — визначає, чи шлях належить до JS-тесту `*.test.mjs` або `*.test.js`.
+- `collectTestFileOffenders` — знаходить усі тестові файли в репозиторії з урахуванням `.n-rules.json` та збирає для них знайдені порушення з відносними шляхами.
+
+## Публічний API
+
+- isTestFile — Розпізнає JS-файли з тестовою назвою `*.test.mjs` або `*.test.js`.
+- collectTestFileOffenders — Обходить репозиторій з урахуванням `.n-rules.json:ignore`, знаходить `*.test.{mjs,js}` і проганяє кожен файл через `findOffenders` для спільних test-конвенцій на кшталт `no-console-store-restore` і `vitest-api-conventions`.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/test/lib/docs/index.md

@@ -0,0 +1,9 @@
+---
+type: Directory Index
+title: npm/rules/test/lib
+resource: npm/rules/test/lib/
+---
+
+| Файл                                                              | Тип       |
+| ----------------------------------------------------------------- | --------- |
+| [collect-test-file-offenders.mjs](collect-test-file-offenders.md) | JS Module |

package/rules/test/no-console-store-restore/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/test/no-console-store-restore/main.mjs
 docgen:
-  crc: 7b2c0909
+  crc: 5a1ab9dd
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
   score: 100
   issues: judge:inaccurate:0.99

package/rules/test/no-console-store-restore/main.mjs

@@ -1,10 +1,6 @@
 /** @see ./docs/no-console-store-restore.md */
-import { readFile } from 'node:fs/promises'
-import { basename, relative } from 'node:path'
-
 import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
-import { loadCursorIgnorePaths } from '../../../scripts/lib/load-cursor-config.mjs'
-import { walkDir } from '../../../scripts/utils/walkDir.mjs'
+import { collectTestFileOffenders } from '../lib/collect-test-file-offenders.mjs'
 
 /**
  * Ловить пряме присвоєння `console.<method> = …` у `*.test.{js,mjs}`.
@@ -14,16 +10,6 @@ import { walkDir } from '../../../scripts/utils/walkDir.mjs'
 const CONSOLE_ASSIGN_RE =
   /\bconsole\.(?:log|error|warn|info|debug|dir|table|trace|group|groupEnd|time|timeEnd)\s*=(?!=)/u
 
-/**
- * Чи файл — JS-тест (`*.test.mjs` / `*.test.js`).
- * @param {string} absPath абсолютний шлях
- * @returns {boolean} `true` для `.test.{mjs,js}` файлів
- */
-function isTestFile(absPath) {
-  const name = basename(absPath)
-  return name.endsWith('.test.mjs') || name.endsWith('.test.js')
-}
-
 /**
  * Знаходить рядки з прямим присвоєнням `console.<method> = …`.
  * @param {string} body вміст файлу
@@ -51,26 +37,7 @@ export async function lint(ctx) {
   const { pass, fail } = reporter
 
   const cwd = ctx.cwd
-  const ignorePaths = await loadCursorIgnorePaths(cwd)
-
-  /** @type {string[]} */
-  const testFiles = []
-  await walkDir(
-    cwd,
-    absPath => {
-      if (isTestFile(absPath)) testFiles.push(absPath)
-    },
-    ignorePaths
-  )
-
-  /** @type {Array<{file: string, line: number}>} */
-  const offenders = []
-  for (const absPath of testFiles) {
-    const body = await readFile(absPath, 'utf8')
-    for (const o of findOffenders(body)) {
-      offenders.push({ file: relative(cwd, absPath), ...o })
-    }
-  }
+  const { testFiles, offenders } = await collectTestFileOffenders(cwd, findOffenders)
 
   if (offenders.length === 0) {
     pass(`Жоден з ${testFiles.length} тестових файлів не присвоює console.<method> = … (test.mdc)`)

package/rules/test/vitest-api-conventions/docs/main.md

@@ -3,7 +3,7 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/test/vitest-api-conventions/main.mjs
 docgen:
-  crc: 4ef8e575
+  crc: 806e74e3
 ---
 
 ## Огляд

package/rules/test/vitest-api-conventions/main.mjs

@@ -1,10 +1,6 @@
 /** @see ./docs/main.md */
-import { readFile } from 'node:fs/promises'
-import { basename, relative } from 'node:path'
-
 import { createViolationReporter } from '../../../scripts/lib/lint-surface/violation-reporter.mjs'
-import { loadCursorIgnorePaths } from '../../../scripts/lib/load-cursor-config.mjs'
-import { walkDir } from '../../../scripts/utils/walkDir.mjs'
+import { collectTestFileOffenders } from '../lib/collect-test-file-offenders.mjs'
 
 /**
  * `expect(x).toBe({…})` / `expect(x).toBe([…])` — `toBe` — це `Object.is`
@@ -23,16 +19,6 @@ const QUOTE_CHARS = new Set(['"', "'", '`'])
 /** Мапа закриваючої дужки на парну дужку, яка її відкриває — для перевірки балансу стеку. */
 const CLOSE_TO_OPEN = { '}': '{', ']': '[' }
 
-/**
- * Чи файл — JS-тест (`*.test.mjs` / `*.test.js`).
- * @param {string} absPath абсолютний шлях
- * @returns {boolean} `true` для `.test.{mjs,js}` файлів
- */
-function isTestFile(absPath) {
-  const name = basename(absPath)
-  return name.endsWith('.test.mjs') || name.endsWith('.test.js')
-}
-
 /**
  * Пропускає пробіли/переноси рядків, повертає індекс першого не-whitespace символу.
  * @param {string} body вміст файлу
@@ -148,26 +134,7 @@ export async function lint(ctx) {
   const { pass, fail } = reporter
 
   const cwd = ctx.cwd
-  const ignorePaths = await loadCursorIgnorePaths(cwd)
-
-  /** @type {string[]} */
-  const testFiles = []
-  await walkDir(
-    cwd,
-    absPath => {
-      if (isTestFile(absPath)) testFiles.push(absPath)
-    },
-    ignorePaths
-  )
-
-  /** @type {Array<{file: string, line: number}>} */
-  const offenders = []
-  for (const absPath of testFiles) {
-    const body = await readFile(absPath, 'utf8')
-    for (const o of findOffenders(body)) {
-      offenders.push({ file: relative(cwd, absPath), ...o })
-    }
-  }
+  const { testFiles, offenders } = await collectTestFileOffenders(cwd, findOffenders)
 
   if (offenders.length === 0) {
     pass(`Жоден з ${testFiles.length} тестових файлів не викликає toBe(...) з об'єктним/масивним літералом (test.mdc)`)