@7n/rules 1.86.1 → 1.87.1

package/CHANGELOG.md

@@ -1,10 +1,29 @@
 # Changelog
 
-## [1.86.1] - 2026-08-05
+## [1.87.1] - 2026-08-05
 
-### Fixed
+### Changed
+
+- docs(plans): реєстр — перенесення зі зрізу 6 і відновлення втраченого (#404)
+
+## [1.87.0] - 2026-08-05
+
+### Changed
+
+- Ще два концерни переїхали з JS у wasm-компонент `lang-js/wasm-concerns` на
+поверхні `exec-tool` (зріз 6 контракту v3.1): `style/lint` (обгортка
+`stylelint`) і `js/jscpd_duplicates` (обгортка `jscpd`, перший реальний
+споживач `scratch-out` — JSON-звіт тула хост забирає з тимчасового каталогу
+обміну, дерево репо не мутується).
+
+Резолв тулів у `manifest.tools` навчився третьої схеми — `npm:<name>`:
+бінарник шукається в `node_modules/.bin` консюмер-репо, з фолбеком на PATH.
+Це та сама послідовність, якою `style/lint` резолвив `stylelint` у JS.
+
+T0-фікси обох концернів лишаються JS.
+- `k8s/manifests` — другий зріз порту в `rules-core`. Портовано ще два з чотирьох шарів `lint()`: per-file цикл `checkK8sYamlFile` (modeline `# yaml-language-server: $schema=…`, звірка URL схеми з `apiVersion`/`kind`, виняток `HttpBackendGroup` Yandex ALB) і дві великі самодостатні `validate*` — `validateDeploymentHpaPdbAndTopology` (канон `topologySpreadConstraints`, заборона локальних `hpa.yaml`/`pdb.yaml` у `k8s/…/base/`, повний контракт sibling-каталогу `components/`) та `validateNetworkPoliciesForK8sWorkloads`. Концерн у `NATIVE_CONCERNS` як і раніше **не** заведено — він неподільний для диспатчу і зайде туди разом із двома шарами, що лишились (kubescape-контур і kustomize-резолюція з пʼятьма залежними `validate*`), тож поведінка лінту незмінна.
 
-- оновлено pin `@7n/llm-lib` до 3.0.0 (автосинк релізного трейна)
+Полагоджено латентний дефект канону: `readDocsByKindInDir` обходив каталог у порядку `readdir`, тобто в порядку файлової системи (APFS впорядковує, ext4 віддає hash-порядок). Обхід став відсортованим. Спостережуваної зміни немає — обидва виклики передають фільтр за іменем файла, тож збігається щонайбільше один файл; сортування прибирає ту саму міну, на якій уже спіткнулись `k8s/hasura_configmap` і звірка імені ConfigMap.
 
 ## [1.86.0] - 2026-08-05
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules",
-  "version": "1.86.1",
+  "version": "1.87.1",
   "description": "CLI еталонних правил і skills (префікс n-): синк у репозиторій, дельта-lint, конформність",
   "keywords": [
     "cli",
@@ -66,7 +66,7 @@
     "rename-yaml-extensions": "bun ./bin/n-rules.js rename-yaml-extensions"
   },
   "dependencies": {
-    "@7n/llm-lib": "3.0.0",
+    "@7n/llm-lib": "3.0.1",
     "ajv": "^8.20.0",
     "cli-progress": "^3.12.0",
     "github-actionlint": "^1.7.12",
@@ -83,9 +83,9 @@
     "zod": "^4.4.3"
   },
   "optionalDependencies": {
-    "@7n/rules-darwin-arm64": "1.86.1",
-    "@7n/rules-linux-x64": "1.86.1",
-    "@7n/rules-win32-x64": "1.86.1",
+    "@7n/rules-darwin-arm64": "1.87.0",
+    "@7n/rules-linux-x64": "1.87.0",
+    "@7n/rules-win32-x64": "1.87.0",
     "@earendil-works/pi-ai": "0.80.10",
     "@earendil-works/pi-coding-agent": "0.80.10"
   },

package/rules/k8s/manifests/main.mjs

@@ -3294,13 +3294,18 @@ function checkK8sYamlFileWithSchemaModeline(abs, rel, baseLower, lines, fail, pa
 
 /**
  * Перевіряє один YAML у дереві k8s (modeline, схема).
+ *
+ * Експортовано заради cross-language parity-гейта
+ * (`crates/rules-core/tests/k8s_manifests_slice2_parity.rs`): концерн ще не в
+ * `NATIVE_CONCERNS`, тож native-бік звіряється з каноном напряму, а не через
+ * `runConcernDetector`.
  * @param {string} abs абсолютний шлях до файлу
  * @param {string} root корінь репозиторію
  * @param {(msg: string) => void} fail реєстрація помилки
  * @param {(msg: string) => void} pass реєстрація успіху
  * @returns {Promise<void>} результат
  */
-async function checkK8sYamlFile(abs, root, fail, pass) {
+export async function checkK8sYamlFile(abs, root, fail, pass) {
   const rel = (relative(root, abs) || abs).replaceAll('\\', '/')
   const base = basename(abs)
   const baseLower = base.toLowerCase()
@@ -4189,18 +4194,26 @@ function matchesYamlFilter(entry, filenameFilter) {
 }
 
 /**
- * Збирає всі документи з **k8s**-yaml за заданим `kind` у каталозі.
+ * Збирає всі документи з **k8s**-yaml за заданим `kind` у каталозі,
+ * у **відсортованому** порядку імен файлів.
+ *
+ * Сортування обов'язкове з тієї ж причини, що й у `collectDeploymentDocsInDir`:
+ * без нього порядок документів (а отже і `.find(…)` за ним) залежав би від
+ * порядку `readdir`, тобто від файлової системи — APFS впорядковує, ext4 віддає
+ * hash-порядок. Зараз обидва виклики передають `filenameFilter`, тож збіг
+ * щонайбільше один і різниці не видно; сортування прибирає міну на майбутнє.
  * @param {string} dirPath абсолютний шлях до каталогу
  * @param {string} kind очікуваний `kind` (наприклад, `HorizontalPodAutoscaler`)
  * @param {string} [filenameFilter] фільтр за basename (наприклад, `hpa.yaml`); якщо заданий — лише цей файл
- * @returns {Promise<Record<string, unknown>[]>} список знайдених документів
+ * @returns {Promise<Record<string, unknown>[]>} список знайдених документів у детермінованому порядку
  */
 async function readDocsByKindInDir(dirPath, kind, filenameFilter) {
   /**
   @type {Record<string, unknown>[]}
    */
   const out = []
-  const entries = await tryReaddir(dirPath)
+  const dirEntries = await tryReaddir(dirPath)
+  const entries = dirEntries.toSorted()
   for (const entry of entries) {
     if (!matchesYamlFilter(entry, filenameFilter)) {
       continue
@@ -5414,12 +5427,17 @@ async function collectNetworkPolicyWorkloadsByDir(yamlFilesAbs) {
  * наявність і канон sibling каталогу **`components/`** (Kustomize Component) з `hpa.yaml` і `pdb.yaml` через
  * `validateComponentsForBaseDeployment`. У не-base шарах — звична схема (`hpa.yaml` / `pdb.yaml` поруч).
  * Env-залежні межі — за сегментом після `/k8s/`: dev-like vs прод.
+ *
+ * Експортовано заради cross-language parity-гейта
+ * (`crates/rules-core/tests/k8s_manifests_slice2_parity.rs`): концерн ще не в
+ * `NATIVE_CONCERNS`, тож native-бік звіряється з каноном напряму, а не через
+ * `runConcernDetector`.
  * @param {string} root корінь репозиторію
  * @param {string[]} yamlFilesAbs yaml під k8s
  * @param {(msg: string) => void} fail callback при помилці
  * @param {(msg: string) => void} passFn callback при успіху
  */
-async function validateDeploymentHpaPdbAndTopology(root, yamlFilesAbs, fail, passFn) {
+export async function validateDeploymentHpaPdbAndTopology(root, yamlFilesAbs, fail, passFn) {
   const rootNorm = resolve(root)
   /**
   @type {Map<string, Record<string, unknown>[]>}
@@ -5446,13 +5464,18 @@ async function validateDeploymentHpaPdbAndTopology(root, yamlFilesAbs, fail, pas
 /**
  * Перевіряє NetworkPolicy для **Deployment**, **StatefulSet**, **DaemonSet**, **Job**, **CronJob**
  * під `k8s` — у `networkpolicy.yaml` поруч з workload-маніфестом (у base, у не-base — як overlay-specific override).
+ *
+ * Експортовано заради cross-language parity-гейта
+ * (`crates/rules-core/tests/k8s_manifests_slice2_parity.rs`): концерн ще не в
+ * `NATIVE_CONCERNS`, тож native-бік звіряється з каноном напряму, а не через
+ * `runConcernDetector`.
  * @param {string} root корінь репозиторію
  * @param {string[]} yamlFilesAbs yaml під k8s
  * @param {(msg: string) => void} fail callback при помилці
  * @param {(msg: string) => void} passFn callback при успіху
  * @returns {Promise<void>} результат
  */
-async function validateNetworkPoliciesForK8sWorkloads(root, yamlFilesAbs, fail, passFn) {
+export async function validateNetworkPoliciesForK8sWorkloads(root, yamlFilesAbs, fail, passFn) {
   const rootNorm = resolve(root)
   const workloadsByDir = await collectNetworkPolicyWorkloadsByDir(yamlFilesAbs)
   for (const [dir, workloads] of workloadsByDir) {

package/rules/security/tracked_symlink/main.mjs

@@ -108,7 +108,11 @@ export async function lint(ctx) {
     // послідовний cat-file на запис дешевший за розбір бінарного `cat-file --batch`.
     const blob = await spawnAsync(git, ['cat-file', 'blob', entry.sha], { cwd, signal: ctx.signal })
     if (blob.exitCode !== 0) continue
-    const target = blob.stdout.replace(/\n+$/u, '')
+    // Хвостові переводи рядка зрізаємо циклом, а не регексом: `/\n+$/`
+    // позначений як super-linear (backtracking), а `trimEnd()` зʼїв би ще й
+    // пробіли — а вони в цілі симлінка значущі.
+    let target = blob.stdout
+    while (target.endsWith('\n')) target = target.slice(0, -1)
     if (target.length === 0) continue
 
     const absolute = isAbsoluteTarget(target)

package/scripts/lib/lint-surface/wasm-plugins.mjs

@@ -8,7 +8,7 @@
  *
  * **Run-tool контур (задача N1, рішення Д спеки)**: `manifest.tools` —
  * задекларовані зовнішні tool-залежності плагіна (напр. `"shellcheck@^0.9"`,
- * `"path:bun"` — схеми резолву, рішення В спеки
+ * `"path:bun"`, `"npm:stylelint"` — схеми резолву, рішення В спеки
  * `docs/specs/2026-08-01-plugin-contract-v31-surfaces.md`, [`parseToolRef`]).
  * Для кожного запису резолвер кличе ensure-tool контур (`ensureToolAsync`,
  * `../ensure-tool.mjs`, injectable через `opts.ensureToolFn`) — будує мапу
@@ -444,7 +444,16 @@ const TOOL_SCHEMES = {
   /** Github-реліз із закріпленою версією (`TOOLS` + `tool-pins.json`) — дефолт за відсутності схеми. */
   PINNED: 'pinned',
   /** Резолв по `PATH` (`bun`, `bunx` — ensure-tool не вміє і не має їх завантажувати). */
-  PATH: 'path'
+  PATH: 'path',
+  /**
+   * `<cwd>/node_modules/.bin/<name>`, фолбек `PATH` (зріз 6 контракту v3.1):
+   * `stylelint` — задекларована залежність npm-пакета плагіна
+   * (`@7n/rules-lang-js`), тобто вже лежить у дереві консюмера після
+   * `npm install`; тягнути його github-релізом було б і зайво, і неможливо.
+   * Порядок резолву дослівно повторює `resolveStylelint` JS-канону
+   * `style/lint` — саме тому схема окрема, а не «`path:` з фолбеком».
+   */
+  NPM: 'npm'
 }
 
 /**
@@ -465,7 +474,7 @@ function parseToolRef(declared) {
   if (separator === -1) return { scheme: TOOL_SCHEMES.PINNED, name: declared.split('@', 1)[0] }
   const prefix = declared.slice(0, separator)
   const rest = declared.slice(separator + 1)
-  if (prefix !== TOOL_SCHEMES.PINNED && prefix !== TOOL_SCHEMES.PATH) return { scheme: null, name: declared }
+  if (!Object.values(TOOL_SCHEMES).includes(prefix)) return { scheme: null, name: declared }
   return { scheme: prefix, name: rest.split('@', 1)[0] }
 }
 
@@ -482,17 +491,22 @@ function parseToolRef(declared) {
  * @param {string} pluginName ім'я плагіна (лише для diagnostics-повідомлень)
  * @param {string[]} declaredTools `manifest.tools` — рядки виду `"shellcheck@^0.9"`
  * @param {(toolId: string) => Promise<string>} ensureToolFn ін'єкція `ensureToolAsync` (тести підміняють)
- * @param {(cmd: string) => string | null} resolveCmdFn ін'єкція `resolveCmd` для схеми `path:` (тести підміняють — інакше результат залежав би від PATH машини)
+ * @param {(cmd: string) => string | null} resolveCmdFn ін'єкція `resolveCmd` для схем `path:`/`npm:` (тести підміняють — інакше результат залежав би від PATH машини)
+ * @param {string} cwd абсолютний корінь consumer-репо — база `node_modules/.bin` для схеми `npm:`
  * @returns {Promise<Record<string, string>>} ім'я тула (без semver-суфікса) → абсолютний шлях
  */
-async function ensureDeclaredTools(pluginName, declaredTools, ensureToolFn, resolveCmdFn) {
+async function ensureDeclaredTools(pluginName, declaredTools, ensureToolFn, resolveCmdFn, cwd) {
   /** @type {Record<string, string>} */
   const toolPaths = {}
   for (const declared of declaredTools) {
     const { scheme, name } = parseToolRef(declared)
     try {
       if (scheme === null)
-        throw new Error(`невідома схема резолву (відомі "${TOOL_SCHEMES.PINNED}:", "${TOOL_SCHEMES.PATH}:")`)
+        throw new Error(
+          `невідома схема резолву (відомі ${Object.values(TOOL_SCHEMES)
+            .map(s => `"${s}:"`)
+            .join(', ')})`
+        )
       if (scheme === TOOL_SCHEMES.PATH) {
         // `path:` НЕ йде в ensure-tool контур узагалі: той уміє лише
         // github-релізи, а `bun`/`bunx` встановлює користувач. Відсутність —
@@ -502,6 +516,21 @@ async function ensureDeclaredTools(pluginName, declaredTools, ensureToolFn, reso
         toolPaths[name] = fromPath
         continue
       }
+      if (scheme === TOOL_SCHEMES.NPM) {
+        // `npm:` — локальний `.bin` консюмера, потім PATH: дослівно
+        // `resolveStylelint` JS-канону `style/lint`. Так само повз
+        // ensure-tool контур (npm-залежність ставить `npm install`, не
+        // github-реліз).
+        const local = join(cwd, 'node_modules', '.bin', name)
+        if (existsSync(local)) {
+          toolPaths[name] = local
+          continue
+        }
+        const fromPath = resolveCmdFn(name)
+        if (!fromPath) throw new Error('немає ні в node_modules/.bin, ні в PATH')
+        toolPaths[name] = fromPath
+        continue
+      }
       toolPaths[name] = await ensureToolFn(name)
     } catch (error) {
       console.warn(
@@ -538,7 +567,13 @@ async function buildWasmConcernMap(cwd, ctx) {
       console.warn(`⚠️ wasm-плагін "${entry.name}" пропущено: не вдалось завантажити (${error.message})`)
       continue
     }
-    const toolPaths = await ensureDeclaredTools(entry.name, manifest.tools ?? [], ctx.ensureToolFn, ctx.resolveCmdFn)
+    const toolPaths = await ensureDeclaredTools(
+      entry.name,
+      manifest.tools ?? [],
+      ctx.ensureToolFn,
+      ctx.resolveCmdFn,
+      cwd
+    )
     // `manifest.concerns` — масив структурованих контрибуцій `{ key, scope, glob }`
     // (задача N2, передумова full-scope мосту, доккомент `wit/world.wit`
     // `record concern-contribution`), не голі рядки — мапа концернів індексується
@@ -562,7 +597,7 @@ async function buildWasmConcernMap(cwd, ctx) {
  * @param {{fetchFn?: typeof fetch, cacheDir?: string, env?: Record<string, string | undefined>, ensureToolFn?: (toolId: string) => Promise<string>, resolveCmdFn?: (cmd: string) => string | null, nativeFn?: typeof loadNative, builtinPinsDir?: string}} [opts] ін'єкції для тестів:
  *   `fetchFn` (дефолт — глобальний `fetch`), `cacheDir` (дефолт — `resolvePluginCacheDir`), `env` (дефолт — `process.env`),
  *   `ensureToolFn` (дефолт — `ensureToolAsync`), `resolveCmdFn` (дефолт — `resolveCmd`; тести підміняють, бо інакше
- *   `path:`-схема давала б різний `toolPaths` залежно від PATH машини), `nativeFn` (дефолт — `loadNative`, wiring-тести підміняють фейковим addon-ом),
+ *   схеми `path:`/`npm:` давали б різний `toolPaths` залежно від PATH машини), `nativeFn` (дефолт — `loadNative`, wiring-тести підміняють фейковим addon-ом),
  *   `builtinPinsDir` (дефолт — [`WASM_PLUGINS_DIR`], реальна `npm/wasm-plugins/`; тести ізолюють неіснуючим каталогом,
  *   щоб локальна wasm-збірка в робочому дереві не підмішувала builtin-контрибуції в контрольовані сценарії)
  * @returns {Promise<Map<string, WasmConcernMapEntry>>} ключ концерну (`ruleId/concernId`) → `{ wasmPath, toolPaths }`

package/skills/wasm-plugin/SKILL.md

@@ -465,8 +465,10 @@ per-file: пиши `detect_whole_batch(files: &[SourceFile]) -> Vec<Diagnostic>`
   нічого не добуває — провізіонінг живе в окремій команді `tools ensure`.
 
   **Схеми `manifest.tools`** (рішення В): `pinned:` (дефолт за відсутності
-  схеми — github-реліз із закріпленою версією) і `path:` (резолв по `PATH`:
-  `path:bun`, `path:bunx` — те, що ensure-tool завантажити не може й не має).
+  схеми — github-реліз із закріпленою версією), `path:` (резолв по `PATH`:
+  `path:bun`, `path:bunx` — те, що ensure-tool завантажити не може й не має)
+  і `npm:` (`<cwd>/node_modules/.bin/<name>`, фолбек `PATH` —
+  `npm:stylelint`, тобто задекларована залежність npm-пакета плагіна).
 
   > **Trust boundary — прочитай ДО того, як напишеш перший `exec-tool`.**
   > Спавнений тул виконується **з правами хоста, ПОЗА wasm-пісочницею**, і

package/wasm-plugins/builtin-pins.json

@@ -1,6 +0,0 @@
-{
-  "lang-js": {
-    "file": "plugin-lang-js.wasm",
-    "sha256": "04b134d49b3ec5409e1fcdb17765fe50623acdea1396f4e7abf47f4b96bd9701"
-  }
-}