@7n/rules 1.8.0 → 1.8.2

package/CHANGELOG.md

@@ -1,5 +1,18 @@
 # Changelog
 
+## [1.8.2] - 2026-07-17
+
+### Fixed
+
+- bun/licensee: розрізняти crash інструмента (stderr) від реального ліцензійного порушення (stdout, --errors-only)
+- k8s/manifests: знизити когнітивну складність ensureHasuraConfigMapRequiredEnv нижче порогу sonarjs
+
+## [1.8.1] - 2026-07-17
+
+### Changed
+
+- docs(adr): нормалізувати чернетки ADR у канонічний MADR-формат
+
 ## [1.8.0] - 2026-07-16
 
 ### Added

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules",
-  "version": "1.8.0",
+  "version": "1.8.2",
   "description": "CLI еталонних правил і skills (префікс n-): синк у репозиторій, дельта-lint, конформність",
   "keywords": [
     "cli",

package/rules/bun/licensee/docs/main.md

@@ -3,35 +3,28 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/bun/licensee/main.mjs
 docgen:
-  crc: bbaca446
-  model: omlx/gemma-4-e4b-it-OptiQ-4bit
-  score: 90
-  issues: surzhik,judge:inaccurate:0.96
-  judgeModel: openai-codex/gpt-5.4-mini
+  crc: 48c72e2b
+  model: manual
 ---
 
 ## Огляд
 
-Встановлює конфігурацію ліцензій, спираючись на файл .licensee.json, якщо він відсутній. Виконує перевірку відповідності ліцензій усіх npm-залежностей проєкту встановленим вимогам, що визначаються в конфігурації. У випадку виявлення порушень, система повідомляє про них, підтверджуючи чисту відповідність або фіксуючи розбіжності. Маркери повідомлень згадуються у Поведінці: (bun.mdc).
+Read-only detector `bun/licensee`: перевіряє ліцензії npm-залежностей проєкту через зовнішній інструмент `licensee` (`bun x licensee`), звіряючи їх з allowlist у `.licensee.json`. Розрізняє два принципово різні провали: `licensee` знайшов реально заборонену ліцензію (`license-violation`) — і `licensee` сам впав з помилкою (`licensee-crashed`), наприклад через несумісність `@npmcli/arborist` (яким він читає `node_modules`) з деревом, зібраним `bun install`.
 
 ## Поведінка
 
-Поведінка:
-
-1. Викликається `lint` для запуску перевірки ліцензій npm-залежностей.
-2. Якщо файл конфігурації `.licensee.json` відсутній:
-   a. Якщо режим читання лише (`readOnly`) увімкнено, повідомляється, що необхідно запустити `npx @7n/rules fix bun` локально для генерації (bun.mdc).
-   b. Якщо режим читання лише вимкнено, створюється `.licensee.json` з дефолтним allowlist (`blueOak: bronze`) та повідомляється про створення конфігурації.
-3. Визначається команда `bun`. Якщо `bun` не знайдена у системному шляху, повідомляється про це (bun.mdc).
-4. Виконується команда `bun x licensee --production --quiet` у корені проєкту.
-5. Якщо команда `licensee` завершується успішно (статус 0), повідомляється, що ліцензії відповідають вимогам.
-6. Якщо команда `licensee` завершується з помилкою (не 0), повідомляється про порушення ліцензій (код) (bun.mdc).
+1. Якщо `.licensee.json` відсутній — `licensee-config-missing`; генерація конфігу — окремий T0-фікс (`fix-licensee.mjs`), не тут.
+2. Якщо `bun` не знайдено в PATH — `bun-missing`.
+3. Запускає `bun x licensee --production --errors-only` (без `--quiet` — реальне порушення потребує деталі: ім'я/версія/ліцензія пакета, які `licensee` пише в stdout через `print()`).
+4. Статус 0 — без порушень.
+5. Статус ≠ 0 і є вивід у **stderr** — трактується як crash/`die()` самого `licensee` (invalid config або необроблений виняток усередині тула), НЕ як ліцензійне порушення: `licensee-crashed`, повідомлення включає stderr і підказку перевірити вручну `bunx licensee --production`.
+6. Статус ≠ 0 і stderr порожній, є вивід у **stdout** — це справжній `NOT APPROVED`-звіт від `licensee` (`--errors-only` друкує лише невідповідні пакети): `license-violation` з деталлю пакета/ліцензії у повідомленні.
 
 ## Публічний API
 
-lint — аналізує код на відповідність заданим стилістичним нормам у контексті `bun`.
-licensee — перевіряє відповідність ліцензій усіх використаних npm-залежностей файлу `.licensee.json`.
+- `lint(ctx)` — detector-контракт unified lint surface; повертає `{ violations }`.
 
 ## Гарантії поведінки
 
-- (специфічних машинно-виведених гарантій немає)
+- Read-only: не пише `.licensee.json` і не змінює `node_modules`/lockfile сам (побічний ефект `bun x` — авто-встановлення пакета `licensee`, якщо відсутній у bunx-кеші, — керується bun, не цим модулем).
+- Канал stdout/stderr — єдиний сигнал розрізнення crash vs реальне порушення; текстові евристики за вмістом повідомлення не використовуються.

package/rules/bun/licensee/main.mjs

@@ -34,11 +34,27 @@ export function lint(ctx) {
     return reporter.result()
   }
 
-  const r = spawnSync(bun, ['x', 'licensee', '--production', '--quiet'], { cwd, encoding: 'utf8', shell: false })
+  // Без --quiet: `licensee` пише реальні NOT APPROVED записи (name/version/license) у
+  // stdout через print() — деталь замість голого "код 1". Crash/die() усередині
+  // самого тула (invalid config, внутрішній виняток на кшталт "Cannot read properties
+  // of undefined (reading 'localeCompare')" — спостережено з @npmcli/arborist на
+  // bun-based node_modules) завжди йде у stderr через die(); легітимний звіт про
+  // порушення — лише у stdout. Канал розрізняє crash від реального порушення.
+  const r = spawnSync(bun, ['x', 'licensee', '--production', '--errors-only'], { cwd, encoding: 'utf8', shell: false })
   if (r.status !== 0) {
-    const out = `${r.stdout ?? ''}${r.stderr ?? ''}`.trim().slice(0, 2000)
-    const detail = out ? `\n${out}` : ''
-    fail(`lint-bun: licensee — порушення ліцензій (код ${r.status}, bun.mdc)${detail}`, 'license-violation')
+    const stderr = (r.stderr ?? '').trim().slice(0, 2000)
+    if (stderr) {
+      fail(
+        `lint-bun: licensee — інструмент завершився з помилкою, це НЕ підтверджене ліцензійне порушення ` +
+          `(код ${r.status}, bun.mdc). Ймовірна причина — несумісність @npmcli/arborist (яким licensee читає ` +
+          `node_modules) з деревом, зібраним bun install. Перевір вручну: \`bunx licensee --production\`.\n${stderr}`,
+        'licensee-crashed'
+      )
+    } else {
+      const stdout = (r.stdout ?? '').trim().slice(0, 2000)
+      const detail = stdout ? `\n${stdout}` : ''
+      fail(`lint-bun: licensee — порушення ліцензій (код ${r.status}, bun.mdc)${detail}`, 'license-violation')
+    }
   }
   return reporter.result()
 }

package/rules/k8s/manifests/docs/fix-manifests.md

@@ -3,7 +3,7 @@ type: JS Module
 title: fix-manifests.mjs
 resource: npm/rules/k8s/manifests/fix-manifests.mjs
 docgen:
-  crc: 7245cdbe
+  crc: e0c44174
 ---
 
 ## Огляд

package/rules/k8s/manifests/fix-manifests.mjs

@@ -7,7 +7,13 @@
  *   - `batch-v1beta1-apiversion` — apiVersion batch/v1beta1 → batch/v1 (CronJob/Job);
  *   - `schema-modeline-first` — перемістити `# yaml-language-server: $schema=…` у перший рядок;
  *   - `kustomization-patches-sort` — впорядкувати `patches[]` (реюз детекторних sort-ключів);
- *   - `deployment-strategy` — проставити канонічний `spec.strategy` RollingUpdate.
+ *   - `deployment-strategy` — проставити канонічний `spec.strategy` RollingUpdate;
+ *   - `hasura-configmap-env` — проставити обов'язкові `HASURA_GRAPHQL_*` env у Hasura ConfigMap;
+ *   - `hasura-httproute-rule1-filters` — проставити канонічний RequestRedirect у правило 1
+ *     Hasura-канона HTTPRoute (лише overwrite існуючого правила, без синтезу нових);
+ *   - `svc-clusterip-type` — проставити `spec.type: ClusterIP` у `svc.yaml`;
+ *   - `svc-hl-cluster-ip` — проставити `spec.clusterIP: None` у `svc-hl.yaml`
+ *     (без перейменування `metadata.name`, суфікс `-hl` — не T0).
  *
  * Правки роблять через `yaml` Document/Documents (зберігають коментарі), окрім modeline
  * (чистий текст). Семантичну коректність гарантує canonical re-detect (rego) — T0
@@ -20,6 +26,9 @@ import { parseAllDocuments, parseDocument } from 'yaml'
 
 import {
   compareStringTuplesEn,
+  findHasuraCanonStart,
+  HASURA_REQUIRED_ENV_VALUES,
+  hasuraRuleHasExactRedirect,
   kustomizationPatchSortKey,
   loadSnippetSpec,
   replaceBatchV1beta1ApiVersionInYamlText,
@@ -127,6 +136,161 @@ export function ensureNetworkPolicyEgress(content) {
   return docs.map(d => d.toString().replace(LEADING_DOC_SEPARATOR_RE, '').trimEnd()).join('\n---\n') + '\n'
 }
 
+/**
+ * Чи значення читається як логічне `true` (boolean або рядок, case-insensitive) —
+ * дзеркалить `is_value_true` з `k8s.hasura_configmap.rego`.
+ * @param {unknown} v значення з `data`
+ * @returns {boolean} true, якщо значення означає true
+ */
+function isTruthyBool(v) {
+  if (v === true) return true
+  return typeof v === 'string' && v.trim().toLowerCase() === 'true'
+}
+
+/**
+ * Чи значення читається як логічне `false` — дзеркалить `is_value_false`.
+ * @param {unknown} v значення з `data`
+ * @returns {boolean} true, якщо значення означає false
+ */
+function isFalsyBool(v) {
+  if (v === false) return true
+  return typeof v === 'string' && v.trim().toLowerCase() === 'false'
+}
+
+/**
+ * Визначає значення для одного `HASURA_GRAPHQL_*` ключа за очікуванням із
+ * `HASURA_REQUIRED_ENV_VALUES`: `null` — довільне значення, проставляється лише
+ * якщо ключ відсутній (дефолт `'true'`); `'true'`/`'false'` — булеве порівняння
+ * (case-insensitive, `isTruthyBool`/`isFalsyBool`); інакше — точний рядок.
+ * @param {string|null} expected очікуване значення з `HASURA_REQUIRED_ENV_VALUES`
+ * @param {unknown} current поточне значення ключа в `data` (може бути `undefined`)
+ * @returns {string|null} значення для `setIn`, або `null`, якщо змін не потрібно
+ */
+function resolveHasuraEnvValue(expected, current) {
+  if (expected === null) return current === undefined ? 'true' : null
+  if (expected === 'true') return isTruthyBool(current) ? null : 'true'
+  if (expected === 'false') return isFalsyBool(current) ? null : 'false'
+  return current === expected ? null : expected
+}
+
+/**
+ * Проставляє обов'язкові `HASURA_GRAPHQL_*` env-ключі (`HASURA_REQUIRED_ENV_VALUES`,
+ * дзеркалить `k8s.hasura_configmap.rego`) у `data` документа `kind: ConfigMap`. Ключ з
+ * очікуванням `null` (наприклад `HASURA_GRAPHQL_DISABLE_EVENTING`) — довільне значення,
+ * T0 проставляє лише якщо ключ відсутній (дефолт `'true'`).
+ * @param {string} content вміст configmap.yaml
+ * @returns {string|null} новий вміст або null, якщо змін немає / парс невпевнений
+ */
+export function ensureHasuraConfigMapRequiredEnv(content) {
+  let doc
+  try {
+    doc = parseDocument(content)
+  } catch {
+    return null
+  }
+  if (doc.errors?.length) return null
+  if (doc.get('kind') !== 'ConfigMap') return null
+
+  let changed = false
+  for (const [key, expected] of Object.entries(HASURA_REQUIRED_ENV_VALUES)) {
+    const value = resolveHasuraEnvValue(expected, doc.getIn(['data', key]))
+    if (value === null) continue
+    doc.setIn(['data', key], value)
+    changed = true
+  }
+  if (!changed) return null
+  return doc.toString()
+}
+
+/**
+ * Проставляє канонічний RequestRedirect (правило 1 Hasura-канона, `k8s.hasura_httproute.rego`)
+ * у вже знайдене правило `Exact "<prefix>/ql"`. Фіксує лише **існуюче** правило (overwrite
+ * `filters`) — правила 2-4 (rule2/3/4_missing) потребують синтезу нового правила з
+ * `backendRef`, якого нізвідки достовірно вивести, тож НЕ T0 (за тим самим принципом, що й
+ * `internal-url-invalid` у `hasura/internal_urls`: людське рішення про інфраструктуру).
+ * @param {string} content вміст hr.yaml (HTTPRoute, може бути multi-doc)
+ * @returns {string|null} новий вміст або null, якщо змін немає / не застосовно / парс невпевнений
+ */
+export function ensureHasuraHttpRouteRule1Filters(content) {
+  let docs
+  try {
+    docs = parseAllDocuments(content)
+  } catch {
+    return null
+  }
+  if (docs.some(d => d.errors?.length)) return null
+  let changed = false
+  for (const doc of docs) {
+    if (doc.get('kind') !== 'HTTPRoute') continue
+    const plainRules = doc.toJSON()?.spec?.rules
+    if (!Array.isArray(plainRules) || plainRules.length === 0) continue
+    const start = findHasuraCanonStart(plainRules)
+    if (start === null) continue
+    const consolePath = `${start.prefix}/ql/console`
+    if (hasuraRuleHasExactRedirect(plainRules[start.startIndex], consolePath)) continue // вже канонічно
+    const canonicalFilters = [
+      {
+        type: 'RequestRedirect',
+        requestRedirect: { statusCode: 302, path: { type: 'ReplaceFullPath', replaceFullPath: consolePath } }
+      }
+    ]
+    doc.setIn(['spec', 'rules', start.startIndex, 'filters'], doc.createNode(canonicalFilters))
+    changed = true
+  }
+  if (!changed) return null
+  return docs.map(d => d.toString().replace(LEADING_DOC_SEPARATOR_RE, '').trimEnd()).join('\n---\n') + '\n'
+}
+
+/**
+ * Проставляє `spec.type: ClusterIP` у документ `kind: Service` (`svc.yaml`, `k8s.svc_yaml.rego`).
+ * @param {string} content вміст svc.yaml (може бути multi-doc)
+ * @returns {string|null} новий вміст або null, якщо змін немає / не застосовно / парс невпевнений
+ */
+export function ensureSvcClusterIpType(content) {
+  let docs
+  try {
+    docs = parseAllDocuments(content)
+  } catch {
+    return null
+  }
+  if (docs.some(d => d.errors?.length)) return null
+  let changed = false
+  for (const doc of docs) {
+    if (doc.get('kind') !== 'Service') continue
+    if (doc.getIn(['spec', 'type']) === 'ClusterIP') continue
+    doc.setIn(['spec', 'type'], 'ClusterIP')
+    changed = true
+  }
+  if (!changed) return null
+  return docs.map(d => d.toString().replace(LEADING_DOC_SEPARATOR_RE, '').trimEnd()).join('\n---\n') + '\n'
+}
+
+/**
+ * Проставляє `spec.clusterIP: None` у документ `kind: Service` (`svc-hl.yaml`, `k8s.svc_hl_yaml.rego`).
+ * Не чіпає `metadata.name` (суфікс `-hl`) — перейменування ресурсу впливає на посилання з
+ * інших файлів (ConfigMap/Deployment/HTTPRoute), тож НЕ T0.
+ * @param {string} content вміст svc-hl.yaml (може бути multi-doc)
+ * @returns {string|null} новий вміст або null, якщо змін немає / не застосовно / парс невпевнений
+ */
+export function ensureSvcHlClusterIp(content) {
+  let docs
+  try {
+    docs = parseAllDocuments(content)
+  } catch {
+    return null
+  }
+  if (docs.some(d => d.errors?.length)) return null
+  let changed = false
+  for (const doc of docs) {
+    if (doc.get('kind') !== 'Service') continue
+    if (doc.getIn(['spec', 'clusterIP']) === 'None') continue
+    doc.setIn(['spec', 'clusterIP'], 'None')
+    changed = true
+  }
+  if (!changed) return null
+  return docs.map(d => d.toString().replace(LEADING_DOC_SEPARATOR_RE, '').trimEnd()).join('\n---\n') + '\n'
+}
+
 /**
  * Застосовує текстовий трансформер до унікальних файлів із targets і пише зміни.
  * @param {import('../../../scripts/lib/lint-surface/types.mjs').LintViolation[]} targets violations із файлами для правки
@@ -224,5 +388,29 @@ export const patterns = [
     'networkpolicy-egress',
     ensureNetworkPolicyEgress,
     n => `канонічний spec.egress проставлено: ${n} файл(ів)`
+  ),
+  fileTransformPattern(
+    'k8s-manifests-hasura-configmap-env',
+    'hasura-configmap-env',
+    ensureHasuraConfigMapRequiredEnv,
+    n => `обов'язкові HASURA_GRAPHQL_* env проставлено: ${n} файл(ів)`
+  ),
+  fileTransformPattern(
+    'k8s-manifests-hasura-httproute-rule1-filters',
+    'hasura-httproute-rule1-filters',
+    ensureHasuraHttpRouteRule1Filters,
+    n => `правило 1 Hasura-канона (RequestRedirect) проставлено: ${n} файл(ів)`
+  ),
+  fileTransformPattern(
+    'k8s-manifests-svc-clusterip-type',
+    'svc-clusterip-type',
+    ensureSvcClusterIpType,
+    n => `svc.yaml spec.type: ClusterIP проставлено: ${n} файл(ів)`
+  ),
+  fileTransformPattern(
+    'k8s-manifests-svc-hl-cluster-ip',
+    'svc-hl-cluster-ip',
+    ensureSvcHlClusterIp,
+    n => `svc-hl.yaml spec.clusterIP: None проставлено: ${n} файл(ів)`
   )
 ]

package/rules/k8s/manifests/main.mjs

@@ -2283,6 +2283,21 @@ export const HASURA_REQUIRED_ENV_KEYS = [
   'HASURA_GRAPHQL_DISABLE_EVENTING'
 ]
 
+/**
+ * Очікувані значення `HASURA_REQUIRED_ENV_KEYS` (дзеркалить `k8s.hasura_configmap.rego`).
+ * `'true'`/`'false'` — приймаються як boolean або рядок (case-insensitive); рядкове значення
+ * (наприклад `ENABLED_LOG_TYPES`) — точний exact match; `null` — ключ обов'язковий, значення
+ * довільне (T0 проставляє дефолт `'true'`, якщо ключ відсутній).
+ */
+export const HASURA_REQUIRED_ENV_VALUES = {
+  HASURA_GRAPHQL_ENABLE_REMOTE_SCHEMA_PERMISSIONS: 'true',
+  HASURA_GRAPHQL_ENABLE_RELAY: 'false',
+  HASURA_GRAPHQL_ENABLE_TELEMETRY: 'false',
+  HASURA_GRAPHQL_ENABLED_LOG_TYPES: 'startup,http-log',
+  HASURA_GRAPHQL_ENABLED_APIS: 'metadata,graphql,pgdump',
+  HASURA_GRAPHQL_DISABLE_EVENTING: null
+}
+
 const K8S_YAML_EXT_RE = /\.ya?ml$/iu
 
 /**
@@ -2720,7 +2735,7 @@ function hasuraRuleMatchesSinglePathNoHeaders(rule, pathType, pathValue) {
  * @param {string} toPath очікуваний `requestRedirect.path.replaceFullPath`
  * @returns {boolean} true — якщо filters відповідають канону редиректу
  */
-function hasuraRuleHasExactRedirect(rule, toPath) {
+export function hasuraRuleHasExactRedirect(rule, toPath) {
   const r = asPlainRecord(rule)
   if (r === null) return false
   const filters = r.filters
@@ -2830,7 +2845,7 @@ function hasuraRuleIsWebsocket(rule, qlPath) {
  * @param {unknown[]} rules вміст `spec.rules` HTTPRoute
  * @returns {{ prefix: string, startIndex: number } | null} виявлений префікс і позиція правила 1 або null
  */
-function findHasuraCanonStart(rules) {
+export function findHasuraCanonStart(rules) {
   for (const [i, rule] of rules.entries()) {
     const r = asPlainRecord(rule)
     const matches = r === null ? null : r.matches
@@ -3166,7 +3181,7 @@ function recordHasuraDeploymentName(rec, dir, hasuraByDir) {
  * звіряє канон 4 правил (див. `httpRouteHasuraCanonViolation` і k8s.mdc).
  * @param {string} root корінь репозиторію
  * @param {string[]} yamlFiles абсолютні шляхи до `*.yaml` під `k8s`
- * @param {(msg: string) => void} fail callback реєстрації помилки
+ * @param {(msg: string, opts?: string | { reason?: string, file?: string, data?: object }) => void} fail callback реєстрації помилки
  * @returns {Promise<void>} результат
  */
 async function validateHasuraHttpRouteCanon(root, yamlFiles, fail) {
@@ -3193,7 +3208,12 @@ async function validateHasuraHttpRouteCanon(root, yamlFiles, fail) {
   })
   for (const v of violations) {
     const rel = (relative(root, v.filename) || v.filename).replaceAll('\\', '/')
-    fail(`${rel}: ${v.message}`)
+    // T0 автофіксить лише "rule1_filters" (детермінований overwrite існуючого правила);
+    // rule2/3/4-missing вимагають синтезу нового правила з backendRef — не T0 (k8s.mdc).
+    const hint = REGO_HINT_HASURA_HTTPROUTE_RULE1_RE.test(v.message)
+      ? { reason: 'hasura-httproute-rule1-filters', file: rel, data: { kind: 'hasura-httproute-rule1-filters' } }
+      : undefined
+    fail(`${rel}: ${v.message}`, hint)
   }
 }
 
@@ -3613,7 +3633,7 @@ async function validateHasuraConfigMapRemoteSchemaPermissions(root, yamlFilesAbs
   })
   for (const v of violations) {
     const rel = (relative(root, v.filename) || v.filename).replaceAll('\\', '/')
-    fail(`${rel}: ${v.message}`)
+    fail(`${rel}: ${v.message}`, { reason: 'hasura-configmap-env', file: rel, data: { kind: 'hasura-configmap-env' } })
   }
   if (violations.length === 0) {
     passFn(
@@ -6466,6 +6486,10 @@ export async function regenerateLegacyNetworkPolicyDocsInFile(npAbs, fail) {
 const REGO_HINT_DEPLOYMENT_STRATEGY_RE = /spec\.strategy має бути RollingUpdate/u
 const REGO_HINT_NETWORKPOLICY_EGRESS_RE = /відсутнє обовʼязкове egress-правило/u
 const REGO_HINT_KUSTOMIZATION_PATCHES_RE = /patches має бути за алфавітом/u
+/** Стадія `rule1_filters` `k8s.hasura_httproute` — єдина автофіксовна (overwrite існуючого правила, без синтезу нового). */
+const REGO_HINT_HASURA_HTTPROUTE_RULE1_RE = /правило 1 Hasura-канона \(rules\[\d+\]/u
+const REGO_HINT_SVC_CLUSTERIP_RE = /spec\.type[^\n]*ClusterIP|додай spec\.type: ClusterIP/u
+const REGO_HINT_SVC_HL_CLUSTERIP_RE = /spec\.clusterIP[^\n]*None|додай spec\.clusterIP: None/u
 /**
  * Structured fix-hint (#3) для rego-violation із `runAllK8sRego` — щоб T0
  * (`fix-manifests.mjs`) автофіксив детерміновано, не парсячи message. Класифікація
@@ -6486,6 +6510,12 @@ function k8sRegoFixHint(ns, file, message) {
   if (ns === 'k8s.kustomization' && REGO_HINT_KUSTOMIZATION_PATCHES_RE.test(m)) {
     return { reason: 'kustomization-patches-sort', file, data: { kind: 'kustomization-patches-sort' } }
   }
+  if (ns === 'k8s.svc_yaml' && REGO_HINT_SVC_CLUSTERIP_RE.test(m)) {
+    return { reason: 'svc-clusterip-type', file, data: { kind: 'svc-clusterip-type' } }
+  }
+  if (ns === 'k8s.svc_hl_yaml' && REGO_HINT_SVC_HL_CLUSTERIP_RE.test(m)) {
+    return { reason: 'svc-hl-cluster-ip', file, data: { kind: 'svc-hl-cluster-ip' } }
+  }
   // немає збігу — implicit undefined (без trailing return: no-redundant-jump + no-useless-undefined тихі)
 }