@7n/rules 1.8.1 → 1.8.3

package/CHANGELOG.md

@@ -1,5 +1,18 @@
 # Changelog
 
+## [1.8.3] - 2026-07-17
+
+### Changed
+
+- release: @7n/rules@1.8.2
+
+## [1.8.2] - 2026-07-17
+
+### Fixed
+
+- bun/licensee: розрізняти crash інструмента (stderr) від реального ліцензійного порушення (stdout, --errors-only)
+- k8s/manifests: знизити когнітивну складність ensureHasuraConfigMapRequiredEnv нижче порогу sonarjs
+
 ## [1.8.1] - 2026-07-17
 
 ### Changed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules",
-  "version": "1.8.1",
+  "version": "1.8.3",
   "description": "CLI еталонних правил і skills (префікс n-): синк у репозиторій, дельта-lint, конформність",
   "keywords": [
     "cli",

package/rules/bun/licensee/docs/main.md

@@ -3,35 +3,28 @@ type: JS Module
 title: main.mjs
 resource: npm/rules/bun/licensee/main.mjs
 docgen:
-  crc: bbaca446
-  model: omlx/gemma-4-e4b-it-OptiQ-4bit
-  score: 90
-  issues: surzhik,judge:inaccurate:0.96
-  judgeModel: openai-codex/gpt-5.4-mini
+  crc: 48c72e2b
+  model: manual
 ---
 
 ## Огляд
 
-Встановлює конфігурацію ліцензій, спираючись на файл .licensee.json, якщо він відсутній. Виконує перевірку відповідності ліцензій усіх npm-залежностей проєкту встановленим вимогам, що визначаються в конфігурації. У випадку виявлення порушень, система повідомляє про них, підтверджуючи чисту відповідність або фіксуючи розбіжності. Маркери повідомлень згадуються у Поведінці: (bun.mdc).
+Read-only detector `bun/licensee`: перевіряє ліцензії npm-залежностей проєкту через зовнішній інструмент `licensee` (`bun x licensee`), звіряючи їх з allowlist у `.licensee.json`. Розрізняє два принципово різні провали: `licensee` знайшов реально заборонену ліцензію (`license-violation`) — і `licensee` сам впав з помилкою (`licensee-crashed`), наприклад через несумісність `@npmcli/arborist` (яким він читає `node_modules`) з деревом, зібраним `bun install`.
 
 ## Поведінка
 
-Поведінка:
-
-1. Викликається `lint` для запуску перевірки ліцензій npm-залежностей.
-2. Якщо файл конфігурації `.licensee.json` відсутній:
-   a. Якщо режим читання лише (`readOnly`) увімкнено, повідомляється, що необхідно запустити `npx @7n/rules fix bun` локально для генерації (bun.mdc).
-   b. Якщо режим читання лише вимкнено, створюється `.licensee.json` з дефолтним allowlist (`blueOak: bronze`) та повідомляється про створення конфігурації.
-3. Визначається команда `bun`. Якщо `bun` не знайдена у системному шляху, повідомляється про це (bun.mdc).
-4. Виконується команда `bun x licensee --production --quiet` у корені проєкту.
-5. Якщо команда `licensee` завершується успішно (статус 0), повідомляється, що ліцензії відповідають вимогам.
-6. Якщо команда `licensee` завершується з помилкою (не 0), повідомляється про порушення ліцензій (код) (bun.mdc).
+1. Якщо `.licensee.json` відсутній — `licensee-config-missing`; генерація конфігу — окремий T0-фікс (`fix-licensee.mjs`), не тут.
+2. Якщо `bun` не знайдено в PATH — `bun-missing`.
+3. Запускає `bun x licensee --production --errors-only` (без `--quiet` — реальне порушення потребує деталі: ім'я/версія/ліцензія пакета, які `licensee` пише в stdout через `print()`).
+4. Статус 0 — без порушень.
+5. Статус ≠ 0 і є вивід у **stderr** — трактується як crash/`die()` самого `licensee` (invalid config або необроблений виняток усередині тула), НЕ як ліцензійне порушення: `licensee-crashed`, повідомлення включає stderr і підказку перевірити вручну `bunx licensee --production`.
+6. Статус ≠ 0 і stderr порожній, є вивід у **stdout** — це справжній `NOT APPROVED`-звіт від `licensee` (`--errors-only` друкує лише невідповідні пакети): `license-violation` з деталлю пакета/ліцензії у повідомленні.
 
 ## Публічний API
 
-lint — аналізує код на відповідність заданим стилістичним нормам у контексті `bun`.
-licensee — перевіряє відповідність ліцензій усіх використаних npm-залежностей файлу `.licensee.json`.
+- `lint(ctx)` — detector-контракт unified lint surface; повертає `{ violations }`.
 
 ## Гарантії поведінки
 
-- (специфічних машинно-виведених гарантій немає)
+- Read-only: не пише `.licensee.json` і не змінює `node_modules`/lockfile сам (побічний ефект `bun x` — авто-встановлення пакета `licensee`, якщо відсутній у bunx-кеші, — керується bun, не цим модулем).
+- Канал stdout/stderr — єдиний сигнал розрізнення crash vs реальне порушення; текстові евристики за вмістом повідомлення не використовуються.

package/rules/bun/licensee/main.mjs

@@ -34,11 +34,27 @@ export function lint(ctx) {
     return reporter.result()
   }
 
-  const r = spawnSync(bun, ['x', 'licensee', '--production', '--quiet'], { cwd, encoding: 'utf8', shell: false })
+  // Без --quiet: `licensee` пише реальні NOT APPROVED записи (name/version/license) у
+  // stdout через print() — деталь замість голого "код 1". Crash/die() усередині
+  // самого тула (invalid config, внутрішній виняток на кшталт "Cannot read properties
+  // of undefined (reading 'localeCompare')" — спостережено з @npmcli/arborist на
+  // bun-based node_modules) завжди йде у stderr через die(); легітимний звіт про
+  // порушення — лише у stdout. Канал розрізняє crash від реального порушення.
+  const r = spawnSync(bun, ['x', 'licensee', '--production', '--errors-only'], { cwd, encoding: 'utf8', shell: false })
   if (r.status !== 0) {
-    const out = `${r.stdout ?? ''}${r.stderr ?? ''}`.trim().slice(0, 2000)
-    const detail = out ? `\n${out}` : ''
-    fail(`lint-bun: licensee — порушення ліцензій (код ${r.status}, bun.mdc)${detail}`, 'license-violation')
+    const stderr = (r.stderr ?? '').trim().slice(0, 2000)
+    if (stderr) {
+      fail(
+        `lint-bun: licensee — інструмент завершився з помилкою, це НЕ підтверджене ліцензійне порушення ` +
+          `(код ${r.status}, bun.mdc). Ймовірна причина — несумісність @npmcli/arborist (яким licensee читає ` +
+          `node_modules) з деревом, зібраним bun install. Перевір вручну: \`bunx licensee --production\`.\n${stderr}`,
+        'licensee-crashed'
+      )
+    } else {
+      const stdout = (r.stdout ?? '').trim().slice(0, 2000)
+      const detail = stdout ? `\n${stdout}` : ''
+      fail(`lint-bun: licensee — порушення ліцензій (код ${r.status}, bun.mdc)${detail}`, 'license-violation')
+    }
   }
   return reporter.result()
 }

package/rules/k8s/hasura_configmap/hasura_configmap.mdc

@@ -11,7 +11,7 @@ Rego-пакет: `k8s.hasura_configmap`
 | `HASURA_GRAPHQL_ENABLE_REMOTE_SCHEMA_PERMISSIONS` | `"true"` |
 | `HASURA_GRAPHQL_ENABLE_RELAY` | `"false"` |
 | `HASURA_GRAPHQL_ENABLE_TELEMETRY` | `"false"` |
-| `HASURA_GRAPHQL_ENABLED_LOG_TYPES` | `"startup,http-log"` (точно) |
+| `HASURA_GRAPHQL_ENABLED_LOG_TYPES` | `"startup,http-log"` (точно; base/dev; overlay має патчем замінити на `"startup"` — `http-log` лише для base/dev) |
 | `HASURA_GRAPHQL_ENABLED_APIS` | `"metadata,graphql,pgdump"` (base/dev; overlay має патчем замінити на `"metadata,graphql"`) |
 | `HASURA_GRAPHQL_DISABLE_EVENTING` | ключ обов'язковий, значення довільне (рекомендовано `"true"`) |
 

package/rules/k8s/manifests/docs/fix-manifests.md

@@ -3,7 +3,7 @@ type: JS Module
 title: fix-manifests.mjs
 resource: npm/rules/k8s/manifests/fix-manifests.mjs
 docgen:
-  crc: 7245cdbe
+  crc: e0c44174
 ---
 
 ## Огляд

package/rules/k8s/manifests/fix-manifests.mjs

@@ -157,6 +157,22 @@ function isFalsyBool(v) {
   return typeof v === 'string' && v.trim().toLowerCase() === 'false'
 }
 
+/**
+ * Визначає значення для одного `HASURA_GRAPHQL_*` ключа за очікуванням із
+ * `HASURA_REQUIRED_ENV_VALUES`: `null` — довільне значення, проставляється лише
+ * якщо ключ відсутній (дефолт `'true'`); `'true'`/`'false'` — булеве порівняння
+ * (case-insensitive, `isTruthyBool`/`isFalsyBool`); інакше — точний рядок.
+ * @param {string|null} expected очікуване значення з `HASURA_REQUIRED_ENV_VALUES`
+ * @param {unknown} current поточне значення ключа в `data` (може бути `undefined`)
+ * @returns {string|null} значення для `setIn`, або `null`, якщо змін не потрібно
+ */
+function resolveHasuraEnvValue(expected, current) {
+  if (expected === null) return current === undefined ? 'true' : null
+  if (expected === 'true') return isTruthyBool(current) ? null : 'true'
+  if (expected === 'false') return isFalsyBool(current) ? null : 'false'
+  return current === expected ? null : expected
+}
+
 /**
  * Проставляє обов'язкові `HASURA_GRAPHQL_*` env-ключі (`HASURA_REQUIRED_ENV_VALUES`,
  * дзеркалить `k8s.hasura_configmap.rego`) у `data` документа `kind: ConfigMap`. Ключ з
@@ -177,32 +193,10 @@ export function ensureHasuraConfigMapRequiredEnv(content) {
 
   let changed = false
   for (const [key, expected] of Object.entries(HASURA_REQUIRED_ENV_VALUES)) {
-    const current = doc.getIn(['data', key])
-    if (expected === null) {
-      if (current === undefined) {
-        doc.setIn(['data', key], 'true')
-        changed = true
-      }
-      continue
-    }
-    if (expected === 'true') {
-      if (!isTruthyBool(current)) {
-        doc.setIn(['data', key], 'true')
-        changed = true
-      }
-      continue
-    }
-    if (expected === 'false') {
-      if (!isFalsyBool(current)) {
-        doc.setIn(['data', key], 'false')
-        changed = true
-      }
-      continue
-    }
-    if (current !== expected) {
-      doc.setIn(['data', key], expected)
-      changed = true
-    }
+    const value = resolveHasuraEnvValue(expected, doc.getIn(['data', key]))
+    if (value === null) continue
+    doc.setIn(['data', key], value)
+    changed = true
   }
   if (!changed) return null
   return doc.toString()

package/rules/k8s/manifests/main.mjs

@@ -4922,6 +4922,12 @@ const HASURA_OVERLAY_ENABLED_APIS = 'metadata,graphql'
 /** JSON-Pointer ключа `HASURA_GRAPHQL_ENABLED_APIS` у `data` ConfigMap (для JSON6902-патчів). */
 const HASURA_ENABLED_APIS_DATA_POINTER = '/data/HASURA_GRAPHQL_ENABLED_APIS'
 
+/** Очікуване `HASURA_GRAPHQL_ENABLED_LOG_TYPES` у non-base/dev overlay (без `http-log` — він лише для base/dev). */
+const HASURA_OVERLAY_ENABLED_LOG_TYPES = 'startup'
+
+/** JSON-Pointer ключа `HASURA_GRAPHQL_ENABLED_LOG_TYPES` у `data` ConfigMap (для JSON6902-патчів). */
+const HASURA_ENABLED_LOG_TYPES_DATA_POINTER = '/data/HASURA_GRAPHQL_ENABLED_LOG_TYPES'
+
 /**
  * Чи дерево kustomization (`resources` / `bases` / `components` / `crds`, рекурсивно) містить
  * **Hasura-Deployment** у шарі base (образ `hasura/graphql-engine`). Маркер того, що overlay успадковує
@@ -4965,18 +4971,19 @@ function firstValidYamlJsonFromPatchText(patchText) {
 }
 
 /**
- * Значення `data.HASURA_GRAPHQL_ENABLED_APIS` з JSON6902-патчу (масив операцій).
- * Повертає значення першої `add`/`replace`-операції на `/data/HASURA_GRAPHQL_ENABLED_APIS`.
+ * Значення `data.<dataKey>` з JSON6902-патчу (масив операцій).
+ * Повертає значення першої `add`/`replace`-операції на `/data/<dataKey>`.
  * @param {unknown[]} ops масив JSON6902-операцій
+ * @param {string} dataPointer JSON-Pointer ключа (`/data/<dataKey>`)
  * @returns {string | null} присвоєне значення (рядок) або null
  */
-function enabledApisValueFromJson6902(ops) {
+function hasuraDataKeyValueFromJson6902(ops, dataPointer) {
   for (const item of ops) {
     if (item === null || typeof item !== 'object' || Array.isArray(item)) continue
     const rec = /** @type {Record<string, unknown>} */ (item)
     const op = typeof rec.op === 'string' ? rec.op.trim().toLowerCase() : ''
     const path = typeof rec.path === 'string' ? normalizeJsonPatchPath(rec.path) : ''
-    if ((op === 'add' || op === 'replace') && path === HASURA_ENABLED_APIS_DATA_POINTER) {
+    if ((op === 'add' || op === 'replace') && path === dataPointer) {
       return typeof rec.value === 'string' ? rec.value : JSON.stringify(rec.value)
     }
   }
@@ -4984,42 +4991,58 @@ function enabledApisValueFromJson6902(ops) {
 }
 
 /**
- * Значення `data.HASURA_GRAPHQL_ENABLED_APIS` зі Strategic-Merge-патчу (об'єкт із `data`).
+ * Значення `data.<dataKey>` зі Strategic-Merge-патчу (об'єкт із `data`).
  * @param {object} parsed розпарсений об'єкт patch
+ * @param {string} dataKey ключ у `data` (наприклад `HASURA_GRAPHQL_ENABLED_APIS`)
  * @returns {string | null} присвоєне значення (рядок) або null
  */
-function enabledApisValueFromStrategicMerge(parsed) {
+function hasuraDataKeyValueFromStrategicMerge(parsed, dataKey) {
   const data = /** @type {Record<string, unknown>} */ (parsed).data
   if (data === null || typeof data !== 'object' || Array.isArray(data)) return null
   const d = /** @type {Record<string, unknown>} */ (data)
-  if (!Object.hasOwn(d, 'HASURA_GRAPHQL_ENABLED_APIS')) return null
-  const v = d.HASURA_GRAPHQL_ENABLED_APIS
+  if (!Object.hasOwn(d, dataKey)) return null
+  const v = d[dataKey]
   return typeof v === 'string' ? v : JSON.stringify(v)
 }
 
 /**
- * Значення, яке inline-`patch` присвоює `data.HASURA_GRAPHQL_ENABLED_APIS`. Підтримка двох форматів:
- * **JSON6902** (`op` add/replace на `/data/HASURA_GRAPHQL_ENABLED_APIS`) і **Strategic Merge**
- * (`data.HASURA_GRAPHQL_ENABLED_APIS`). Зовнішні patch-файли (`patches[].path`) не охоплені — Plan B trade-off.
+ * Значення, яке inline-`patch` присвоює `data.<dataKey>`. Підтримка двох форматів:
+ * **JSON6902** (`op` add/replace на `/data/<dataKey>`) і **Strategic Merge** (`data.<dataKey>`).
+ * Зовнішні patch-файли (`patches[].path`) не охоплені — Plan B trade-off.
  * @param {string} patchText вміст поля `patch`
+ * @param {string} dataKey ключ у `data`
+ * @param {string} dataPointer JSON-Pointer ключа (`/data/<dataKey>`)
  * @returns {string | null} присвоєне значення (рядок) або null, якщо patch не чіпає цей ключ
  */
-export function enabledApisValueFromPatchText(patchText) {
+function hasuraDataKeyValueFromPatchText(patchText, dataKey, dataPointer) {
   const t = typeof patchText === 'string' ? patchText.trim() : ''
   if (t === '') return null
   const parsed = firstValidYamlJsonFromPatchText(t)
-  if (Array.isArray(parsed)) return enabledApisValueFromJson6902(parsed)
+  if (Array.isArray(parsed)) return hasuraDataKeyValueFromJson6902(parsed, dataPointer)
   if (parsed === null || typeof parsed !== 'object') return null
-  return enabledApisValueFromStrategicMerge(parsed)
+  return hasuraDataKeyValueFromStrategicMerge(parsed, dataKey)
 }
 
 /**
- * Значення, яке `patches[]` kustomization присвоюють `data.HASURA_GRAPHQL_ENABLED_APIS` на цілі **ConfigMap**.
+ * Значення, яке inline-`patch` присвоює `data.HASURA_GRAPHQL_ENABLED_APIS`. Підтримка двох форматів:
+ * **JSON6902** (`op` add/replace на `/data/HASURA_GRAPHQL_ENABLED_APIS`) і **Strategic Merge**
+ * (`data.HASURA_GRAPHQL_ENABLED_APIS`). Зовнішні patch-файли (`patches[].path`) не охоплені — Plan B trade-off.
+ * @param {string} patchText вміст поля `patch`
+ * @returns {string | null} присвоєне значення (рядок) або null, якщо patch не чіпає цей ключ
+ */
+export function enabledApisValueFromPatchText(patchText) {
+  return hasuraDataKeyValueFromPatchText(patchText, 'HASURA_GRAPHQL_ENABLED_APIS', HASURA_ENABLED_APIS_DATA_POINTER)
+}
+
+/**
+ * Значення, яке `patches[]` kustomization присвоюють `data.<dataKey>` на цілі **ConfigMap**.
  * Повертає значення першого patch-а, що чіпає цей ключ, або null, якщо такого немає.
  * @param {Record<string, unknown>} kust об'єкт kustomization.yaml
+ * @param {string} dataKey ключ у `data`
+ * @param {string} dataPointer JSON-Pointer ключа (`/data/<dataKey>`)
  * @returns {string | null} присвоєне значення або null
  */
-export function hasuraEnabledApisOverrideValue(kust) {
+function hasuraDataKeyOverrideValue(kust, dataKey, dataPointer) {
   const patches = kust.patches
   if (!Array.isArray(patches)) return null
   for (const p of patches) {
@@ -5027,12 +5050,32 @@ export function hasuraEnabledApisOverrideValue(kust) {
     const pr = /** @type {Record<string, unknown>} */ (p)
     if (typeof pr.patch !== 'string') continue
     if (resolvePatchTargetKind(pr) !== 'ConfigMap') continue
-    const v = enabledApisValueFromPatchText(pr.patch)
+    const v = hasuraDataKeyValueFromPatchText(pr.patch, dataKey, dataPointer)
     if (v !== null) return v
   }
   return null
 }
 
+/**
+ * Значення, яке `patches[]` kustomization присвоюють `data.HASURA_GRAPHQL_ENABLED_APIS` на цілі **ConfigMap**.
+ * Повертає значення першого patch-а, що чіпає цей ключ, або null, якщо такого немає.
+ * @param {Record<string, unknown>} kust об'єкт kustomization.yaml
+ * @returns {string | null} присвоєне значення або null
+ */
+export function hasuraEnabledApisOverrideValue(kust) {
+  return hasuraDataKeyOverrideValue(kust, 'HASURA_GRAPHQL_ENABLED_APIS', HASURA_ENABLED_APIS_DATA_POINTER)
+}
+
+/**
+ * Значення, яке `patches[]` kustomization присвоюють `data.HASURA_GRAPHQL_ENABLED_LOG_TYPES` на цілі **ConfigMap**.
+ * Повертає значення першого patch-а, що чіпає цей ключ, або null, якщо такого немає.
+ * @param {Record<string, unknown>} kust об'єкт kustomization.yaml
+ * @returns {string | null} присвоєне значення або null
+ */
+export function hasuraEnabledLogTypesOverrideValue(kust) {
+  return hasuraDataKeyOverrideValue(kust, 'HASURA_GRAPHQL_ENABLED_LOG_TYPES', HASURA_ENABLED_LOG_TYPES_DATA_POINTER)
+}
+
 /**
  * Для кожного **non-base/dev** overlay `kustomization.yaml`, що успадковує Hasura-base (Deployment з
  * `hasura/graphql-engine`), вимагає у `patches[]` перевизначення **`data.HASURA_GRAPHQL_ENABLED_APIS`**
@@ -5070,6 +5113,43 @@ async function validateHasuraOverlayEnabledApisOverride(root, yamlFilesAbs, fail
   }
 }
 
+/**
+ * Для кожного **non-base/dev** overlay `kustomization.yaml`, що успадковує Hasura-base (Deployment з
+ * `hasura/graphql-engine`), вимагає у `patches[]` перевизначення **`data.HASURA_GRAPHQL_ENABLED_LOG_TYPES`**
+ * до **`"startup"`** (`http-log` лишається строго для base/dev — прод не пише per-request access-лог у
+ * Cloud Logging). `kind: Component` пропускається (env-неутральне джерело, не overlay).
+ * @param {string} root корінь репозиторію
+ * @param {string[]} yamlFilesAbs yaml під k8s
+ * @param {(msg: string) => void} fail callback при помилці
+ * @param {(msg: string) => void} passFn callback при успіху
+ */
+async function validateHasuraOverlayEnabledLogTypesOverride(root, yamlFilesAbs, fail, passFn) {
+  const rootNorm = resolve(root)
+  const kustFiles = yamlFilesAbs.filter(abs => basename(abs) === 'kustomization.yaml')
+  for (const kustAbs of kustFiles) {
+    const rel = (relative(rootNorm, kustAbs) || kustAbs).replaceAll('\\', '/')
+    const segment = k8sEnvSegmentFromRelPath(rel)
+    if (segment === null || segment === 'base' || segment === 'dev') continue
+    const kust = await readFirstYamlObject(kustAbs)
+    if (kust === null || kust.kind === 'Component') continue
+    if (!(await kustomizationTreeHasHasuraDeployment(kustAbs, rootNorm))) continue
+    const value = hasuraEnabledLogTypesOverrideValue(kust)
+    if (value === HASURA_OVERLAY_ENABLED_LOG_TYPES) {
+      passFn(
+        `${rel}: overlay '${segment}' перевизначає HASURA_GRAPHQL_ENABLED_LOG_TYPES="${HASURA_OVERLAY_ENABLED_LOG_TYPES}" (k8s.mdc)`
+      )
+    } else if (value === null) {
+      fail(
+        `${rel}: overlay '${segment}' має у patches[] перевизначати data.HASURA_GRAPHQL_ENABLED_LOG_TYPES до "${HASURA_OVERLAY_ENABLED_LOG_TYPES}" (http-log лише для base/dev) (k8s.mdc)`
+      )
+    } else {
+      fail(
+        `${rel}: overlay '${segment}' patch data.HASURA_GRAPHQL_ENABLED_LOG_TYPES має бути "${HASURA_OVERLAY_ENABLED_LOG_TYPES}" (зараз: ${JSON.stringify(value)}) (k8s.mdc)`
+      )
+    }
+  }
+}
+
 /**
  * Шукає HPA за `scaleTargetRef.name` серед документів.
  * @param {Record<string, unknown>[]} hpaDocs масив HPA-документів
@@ -6658,6 +6738,8 @@ export async function lint(ctx) {
 
   await validateHasuraOverlayEnabledApisOverride(root, yamlFiles, fail, pass)
 
+  await validateHasuraOverlayEnabledLogTypesOverride(root, yamlFiles, fail, pass)
+
   return reporter.result()
 }