@7n/rules 1.88.1 → 1.88.2

package/CHANGELOG.md

@@ -1,5 +1,13 @@
 # Changelog
 
+## [1.88.2] - 2026-08-08
+
+### Changed
+
+- `k8s/manifests` — третій зріз порту в `rules-core`, після якого **весь** `lint()` концерну має native-дзеркало. Портовано kubescape-контур (`findKustomizationDirs` + `kubectl kustomize`, auto-exceptions C-0056/C-0018 для probe у `Job`/`CronJob`, користувацький `.kubescape-exceptions.json`, 5-хвилинний wall-clock ліміт із власним текстом порушення) і kustomize-резолюцію з пʼятьма залежними `validate*` (`collectResourceDescriptorsForKustomizationWalk`, `kustomizeResourceTreeHpaPdbDeploymentFlags`, `prodOverlayHpaPdbOverrideNeeds`, `kustomizationTreeHasHasuraDeployment`). Концерн у `NATIVE_CONCERNS` як і раніше **не** заведено — гейт `check-mjs-contract` вимагає, щоб у native-концерну не було `main.mjs`, тобто заведення в реєстр і видалення JS-канону є одним неподільним кроком, який чекає на порт fix-поверхні; поведінка лінту незмінна.
+
+Полагоджено дефект канону: **обидва детектори застарілих `apiVersion` не спрацьовували ніколи**. `BATCH_V1BETA1_API_VERSION_LINE_RE` і `GATEWAY_HTTPROUTE_V1BETA1_LINE_RE` — рядкові якірні регулярні вирази (`^…$` без прапорця `m`), і саме так їх застосовує T0-фікс (`rewriteLine*` — по одному рядку), але `detectBatchV1beta1InK8sYamlFiles` і `detectGatewayHttpRouteV1beta1InK8sYamlFiles` звіряли їх із **усім** текстом файла. Такий збіг можливий лише на файлі, що цілком складається з одного рядка `apiVersion: batch/v1beta1`, тобто ніколи на справжньому маніфесті: заборона `batch/v1beta1` і `gateway.networking.k8s.io/v1beta1` була мертвою, попри повідомлення, T0-патерни `fix-manifests.mjs` і розділи `manifest.mdc` / `gateway.mdc`, що обіцяють автоматичне переписування. Тепер обидва детектори звіряють regex по рядках — так само, як сусідня перевірка `kind: HTTPRoute` робила від початку. **Зміна поведінки, напрямок fail-closed:** маніфести під `k8s` із застарілими `apiVersion: batch/v1beta1` та `apiVersion: gateway.networking.k8s.io/v1beta1` у `HTTPRoute` тепер дають порушення (з fix-hint, тож `--fix` їх виправляє), а раніше мовчки проходили.
+
 ## [1.88.1] - 2026-08-07
 
 ### Changed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules",
-  "version": "1.88.1",
+  "version": "1.88.2",
   "description": "CLI еталонних правил і skills (префікс n-): синк у репозиторій, дельта-lint, конформність",
   "keywords": [
     "cli",
@@ -66,7 +66,7 @@
     "rename-yaml-extensions": "bun ./bin/n-rules.js rename-yaml-extensions"
   },
   "dependencies": {
-    "@7n/llm-lib": "3.0.2",
+    "@7n/llm-lib": "3.0.3",
     "ajv": "^8.20.0",
     "cli-progress": "^3.12.0",
     "github-actionlint": "^1.7.12",
@@ -83,9 +83,9 @@
     "zod": "^4.4.3"
   },
   "optionalDependencies": {
-    "@7n/rules-darwin-arm64": "1.88.1",
-    "@7n/rules-linux-x64": "1.88.1",
-    "@7n/rules-win32-x64": "1.88.1",
+    "@7n/rules-darwin-arm64": "1.88.2",
+    "@7n/rules-linux-x64": "1.88.2",
+    "@7n/rules-win32-x64": "1.88.2",
     "@earendil-works/pi-ai": "0.80.10",
     "@earendil-works/pi-coding-agent": "0.80.10"
   },

package/rules/k8s/manifests/main.mjs

@@ -1548,7 +1548,7 @@ async function validatePatchTargetsOneKustomizationFile(root, kustAbs, rootNorm,
  * @param {(msg: string) => void} fail реєстрація помилки
  * @returns {Promise<void>} результат
  */
-async function validateKustomizationPatchTargetsResolved(root, yamlFilesAbs, fail) {
+export async function validateKustomizationPatchTargetsResolved(root, yamlFilesAbs, fail) {
   const rootNorm = resolve(root)
   const kustFiles = yamlFilesAbs.filter(p => basename(p).toLowerCase() === 'kustomization.yaml')
   for (const kustAbs of kustFiles) {
@@ -1770,12 +1770,16 @@ export function replaceGatewayHttpRouteV1beta1ApiVersionInYamlText(raw) {
 /**
  * Read-only детектор: знаходить файли з `apiVersion: gateway.networking.k8s.io/v1beta1` + `kind: HTTPRoute`
  * і реєструє violation з `data: { kind: 'gateway-httproute-v1beta1' }` для T0-фіксу.
+ *
+ * `GATEWAY_HTTPROUTE_V1BETA1_LINE_RE` — **рядкова** якірна (`^…$` без прапорця `m`), тож
+ * звіряти її треба з окремим рядком, а не з усім текстом файлу (див. коментар-близнюк у
+ * `detectBatchV1beta1InK8sYamlFiles`).
  * @param {string[]} yamlFiles абсолютні шляхи до YAML-файлів
  * @param {string} root корінь репозиторію
  * @param {(msg: string, opts?: object) => void} fail колбек реєстрації порушення
  * @returns {Promise<void>}
  */
-async function detectGatewayHttpRouteV1beta1InK8sYamlFiles(yamlFiles, root, fail) {
+export async function detectGatewayHttpRouteV1beta1InK8sYamlFiles(yamlFiles, root, fail) {
   for (const abs of yamlFiles) {
     const rel = (relative(root, abs) || abs).replaceAll('\\', '/')
     let raw
@@ -1784,9 +1788,10 @@ async function detectGatewayHttpRouteV1beta1InK8sYamlFiles(yamlFiles, root, fail
     } catch {
       continue
     }
-    if (!GATEWAY_HTTPROUTE_V1BETA1_LINE_RE.test(raw)) continue
     const body = raw.startsWith('') ? raw.slice(1) : raw
-    const hasHttpRouteKind = body.split(YAML_LINE_SPLIT_RE).some(l => HTTPROUTE_KIND_LINE_RE.test(l))
+    const lines = body.split(YAML_LINE_SPLIT_RE)
+    if (lines.every(l => !GATEWAY_HTTPROUTE_V1BETA1_LINE_RE.test(l))) continue
+    const hasHttpRouteKind = lines.some(l => HTTPROUTE_KIND_LINE_RE.test(l))
     if (!hasHttpRouteKind) continue
     fail(
       `${rel}: apiVersion: gateway.networking.k8s.io/v1beta1 заборонено для HTTPRoute — оновіть до gateway.networking.k8s.io/v1 (k8s.mdc)`,
@@ -1798,12 +1803,18 @@ async function detectGatewayHttpRouteV1beta1InK8sYamlFiles(yamlFiles, root, fail
 /**
  * Read-only детектор: знаходить файли з `apiVersion: batch/v1beta1` (застаріле для CronJob/Job)
  * і реєструє violation з `data: { kind: 'batch-v1beta1-apiversion' }` для T0-фіксу.
+ *
+ * `BATCH_V1BETA1_API_VERSION_LINE_RE` — **рядкова** якірна (`^…$` без прапорця `m`), і саме так
+ * її застосовує T0-фікс (`rewriteLineBatchV1beta1ApiVersion` — по одному рядку). Звірка тієї ж
+ * якірної regex із **усім** текстом файлу збігалася б лише на файлі, що цілком складається з
+ * одного рядка `apiVersion: batch/v1beta1`, тобто ніколи на справжньому маніфесті — детектор
+ * мовчав, а T0-фікс не мав чого чинити.
  * @param {string[]} yamlFiles абсолютні шляхи до YAML-файлів
  * @param {string} root корінь репозиторію
  * @param {(msg: string, opts?: object) => void} fail колбек реєстрації порушення
  * @returns {Promise<void>}
  */
-async function detectBatchV1beta1InK8sYamlFiles(yamlFiles, root, fail) {
+export async function detectBatchV1beta1InK8sYamlFiles(yamlFiles, root, fail) {
   for (const abs of yamlFiles) {
     const rel = (relative(root, abs) || abs).replaceAll('\\', '/')
     let raw
@@ -1812,7 +1823,8 @@ async function detectBatchV1beta1InK8sYamlFiles(yamlFiles, root, fail) {
     } catch {
       continue
     }
-    if (!BATCH_V1BETA1_API_VERSION_LINE_RE.test(raw)) continue
+    const body = raw.startsWith('') ? raw.slice(1) : raw
+    if (body.split(YAML_LINE_SPLIT_RE).every(l => !BATCH_V1BETA1_API_VERSION_LINE_RE.test(l))) continue
     fail(`${rel}: apiVersion: batch/v1beta1 застаріло — оновіть до batch/v1 (k8s.mdc)`, {
       reason: 'batch-v1beta1-apiversion',
       file: rel,
@@ -4618,7 +4630,7 @@ async function checkOverlayRefHpaPdb(root, kustDir, rel, ref, baseDirs, anyBaseH
  * @param {(msg: string) => void} passFn pass
  * @returns {Promise<void>} результат
  */
-async function validateKustomizeHpaPdbOnlyWithBaseDeployment(root, yamlFilesAbs, fail, passFn) {
+export async function validateKustomizeHpaPdbOnlyWithBaseDeployment(root, yamlFilesAbs, fail, passFn) {
   const rootNorm = resolve(root)
   /**
   @type {Map<string, Promise<{ hasDeployment: boolean, hasHpa: boolean, hasPdb: boolean }>>}
@@ -4744,7 +4756,7 @@ export async function prodOverlayHpaPdbOverrideNeeds(rootNorm, kustAbs) {
  * @param {(msg: string) => void} fail callback при помилці
  * @param {(msg: string) => void} passFn callback при успіху
  */
-async function validateProdKustomizationOverrides(root, yamlFilesAbs, fail, passFn) {
+export async function validateProdKustomizationOverrides(root, yamlFilesAbs, fail, passFn) {
   const rootNorm = resolve(root)
   const kustFiles = yamlFilesAbs.filter(abs => basename(abs) === 'kustomization.yaml')
   for (const kustAbs of kustFiles) {
@@ -4926,7 +4938,7 @@ export function hasuraEnabledLogTypesOverrideValue(kust) {
  * @param {(msg: string) => void} fail callback при помилці
  * @param {(msg: string) => void} passFn callback при успіху
  */
-async function validateHasuraOverlayEnabledApisOverride(root, yamlFilesAbs, fail, passFn) {
+export async function validateHasuraOverlayEnabledApisOverride(root, yamlFilesAbs, fail, passFn) {
   const rootNorm = resolve(root)
   const kustFiles = yamlFilesAbs.filter(abs => basename(abs) === 'kustomization.yaml')
   for (const kustAbs of kustFiles) {
@@ -4963,7 +4975,7 @@ async function validateHasuraOverlayEnabledApisOverride(root, yamlFilesAbs, fail
  * @param {(msg: string) => void} fail callback при помилці
  * @param {(msg: string) => void} passFn callback при успіху
  */
-async function validateHasuraOverlayEnabledLogTypesOverride(root, yamlFilesAbs, fail, passFn) {
+export async function validateHasuraOverlayEnabledLogTypesOverride(root, yamlFilesAbs, fail, passFn) {
   const rootNorm = resolve(root)
   const kustFiles = yamlFilesAbs.filter(abs => basename(abs) === 'kustomization.yaml')
   for (const kustAbs of kustFiles) {