@kirrosh/zond 0.26.1 → 0.27.1

package/CHANGELOG.md

@@ -4,6 +4,71 @@ All notable changes to this project will be documented in this file.
 
 ## [Unreleased]
 
+## [0.27.1] — 2026-07-09
+
+m-27 Bucket E (agentic discoverability): metadata release — no engine changes.
+
+### Added
+- **Claude Code plugin / self-serve marketplace (ARV-395):**
+  `.claude-plugin/{plugin,marketplace}.json` — install skills via
+  `/plugin marketplace add kirrosh/zond`; skills mirrored to root
+  `skills/<name>/SKILL.md` (synced from init templates, drift-checked in
+  `bun run check`), also picked up by SkillsMP / `npx skills add kirrosh/zond`.
+- **Agent discovery files (ARV-394):** `llms.txt` (machine index of docs) and
+  `context7.json` (Context7 config with agent rules) at the repo root.
+
+### Changed
+- **Agentic metadata (ARV-393, ARV-400):** canonical tagline in npm
+  `description`, task-shaped `keywords`, `repository`/`homepage`/`bugs` links;
+  agent-first README top (what → when → install → minimal example).
+
+## [0.27.0] — 2026-07-09
+
+m-27 start-distribution: every install channel works on a clean machine,
+one-run release pipeline, cold-start onboarding pass. Engine untouched.
+
+### Added
+- **npm channel for node-only users (ARV-386):** the published package is a
+  thin node launcher (`bin/zond.mjs`) + `postinstall` that downloads the
+  platform binary from the matching GitHub release and verifies its sha256
+  against `checksums.txt` (`ZOND_DOWNLOAD_BASE` override for mirrors/E2E).
+  Zero runtime deps, no `src/` TS execution, no bun required.
+- **Full platform matrix (ARV-388):** releases now ship `darwin-x64` and
+  `linux-arm64` on top of `darwin-arm64`/`linux-x64`/`win-x64`, cross-compiled
+  via `bun build --compile --target`. `install.sh` fails with a clear message
+  + releases link instead of a raw 404; `install.ps1` falls back ARM64 → x64
+  with an emulation note.
+- **One-run release pipeline (ARV-389):** tag push cross-compiles all 5
+  targets, adhoc-codesigns darwin, emits `checksums.txt`, attaches everything
+  to the GH release and publishes npm — documented in `docs/ci.md`. A brew
+  formula generator (`scripts/release/generate-brew-formula.mjs`) is in-repo
+  but the channel is deferred until first users (ARV-387); its pipeline step
+  self-skips while `TAP_GITHUB_TOKEN` is unset.
+- **`zond audit --safe` (ARV-390):** explicit alias of the default safe mode
+  (docs and skills always said `--safe`, but the flag didn't exist — a
+  stranger's first command died on `unknown option`). Conflicts with `--live`.
+- **Strict-TLS opt-in (ARV-367):** runtime HTTP keeps lax TLS by default
+  (internal/dev targets behind corp CAs); `ZOND_STRICT_TLS=1` turns
+  certificate verification on for public-API audits. Documented as a TLS
+  policy section in ZOND.md + the zond-checks skill.
+- **Raw-apiKey hint (ARV-367):** `doctor` warns when a securityScheme is
+  `apiKey` in the `Authorization` header — set `auth_token` to the RAW key,
+  no `Bearer ` prefix.
+
+### Fixed
+- **Serializer dropped OPTIONS/HEAD/TRACE method keys (ARV-390):** emitted
+  probe-methods suites failed the runner's own validation and were skipped
+  with a scary warning on a stranger's first run. Empty `json: {}` bodies no
+  longer degrade to a bare `json:` (null). Round-trip regression tests added.
+- **Cold-start dead-ends (ARV-390):** `init` next-steps now end at
+  `zond audit --api <name> --safe`; `doctor`'s all-set output points at the
+  same next action instead of stopping silently.
+
+### Docs
+- **README distribution pass (ARV-391):** install matrix (curl/npm/win/manual),
+  safe-by-default trust note above the fold, animated SVG terminal demo
+  (`docs/demo.svg`), one-liner positioning for strangers.
+
 ## [0.26.1] — 2026-07-09
 
 Follow-up from the v0.26.0 petstore verify audit (report-zond findings).

package/README.md

@@ -1,19 +1,47 @@
 # zond
 
-AI-powered API testing for Claude Code, Cursor, and CI/CD.
+API hygiene scanner for small teams and their coding agents — test REST API endpoints against the OpenAPI spec, catch contract drift, track coverage.
 
-Say "test my API" — get working tests, coverage dashboard, and CI config in minutes.
+**Use it when you need to:** test REST API endpoints from an OpenAPI spec,
+verify an API contract after a deploy, debug a failing HTTP request with
+stored run history, or raise endpoint coverage. Works standalone or through
+a coding agent (Claude Code, Cursor) — say "test my API" and the agent
+drives zond for you.
+
+```bash
+curl -fsSL https://raw.githubusercontent.com/kirrosh/zond/master/install.sh | sh   # or: npm i -g @kirrosh/zond
+zond init && zond add api my-api --spec ./openapi.json
+zond audit --api my-api --safe    # read-only pass: spec lint → probes → tests → coverage → HTML report
+```
+
+> **Safe by default.** The first run (`zond audit --safe`) sends read-only
+> GET traffic — no writes, no deletes, nothing destructive. Mutating
+> probes require an explicit `--live` opt-in, meant for throwaway/sandbox
+> accounts only. Running zond against your API won't break it.
+
+![zond demo — install to first audit](docs/demo.svg)
 
 Zond reads your OpenAPI spec and gives your AI agent everything it needs to test your API: a focused CLI, safety guardrails, coverage tracking, and run history. You don't need to learn anything new — just describe what you want and the agent runs `zond` commands.
 
-## Quick Start
+## Install
 
-Install the binary (no Node.js required):
+| Channel | Command |
+|---|---|
+| **curl** (macOS/Linux) | `curl -fsSL https://raw.githubusercontent.com/kirrosh/zond/master/install.sh \| sh` |
+| **npm** (needs Node 20+) | `npm install -g @kirrosh/zond` |
+| **Windows** | `iwr https://raw.githubusercontent.com/kirrosh/zond/master/install.ps1 \| iex` |
+| **Manual** | grab a binary from [releases](https://github.com/kirrosh/zond/releases/latest) (darwin arm64/x64, linux x64/arm64, win x64) |
+| **Claude Code plugin** | `/plugin marketplace add kirrosh/zond` then `/plugin install zond@zond` — the agent skills without `zond init` |
+| **Agent skills** ([skills.sh](https://www.skills.sh)) | `npx skills add kirrosh/zond` |
 
-```bash
-curl -fsSL https://raw.githubusercontent.com/kirrosh/zond/master/install.sh | sh   # macOS/Linux
-iwr https://raw.githubusercontent.com/kirrosh/zond/master/install.ps1 | iex        # Windows
-```
+The plugin/skills channels ship the [five zond skills](skills/) (audit
+pipeline, depth checks, fixture seeding, triage, target warm-up); the zond
+binary itself still comes from any of the channels above.
+
+Every channel ships the same self-contained binary — no Bun or Node
+required at runtime (npm uses Node only as a thin launcher).
+
+## Quick Start
 
 Bootstrap a workspace, register your first API, then fill its fixtures:
 
@@ -56,21 +84,13 @@ upstream spec changes.
 
 Then say to your agent: _"Safely cover the API from openapi.json with tests."_
 
-Want the whole pipeline at once? `zond audit --api my-api` runs
+Want the whole pipeline at once? `zond audit --api my-api --safe` runs
 prepare-fixtures → generate → probes → run → coverage → HTML report in a
-single shot.
-
-<details>
-<summary>Other installation methods (npx)</summary>
-
-```bash
-npx -y @kirrosh/zond --version
-```
+single read-only shot (safe is the default even without the flag). Add
+`--live` for the mutating stages once you're pointed at a sandbox.
 
 See [ZOND.md](ZOND.md) for the full CLI reference.
 
-</details>
-
 ## What Happens
 
 1. **Point** — you give the agent an OpenAPI spec
@@ -117,9 +137,6 @@ curl -fsSL https://raw.githubusercontent.com/kirrosh/zond/master/install.sh | sh
 
 # npm
 npm install -g @kirrosh/zond@latest
-
-# bun
-bun install -g @kirrosh/zond@latest
 ```
 
 ## Shell completions

package/bin/zond.mjs

@@ -0,0 +1,23 @@
+#!/usr/bin/env node
+// Thin launcher: exec the platform binary fetched by scripts/npm/postinstall.mjs.
+import { spawnSync } from 'node:child_process'
+import { existsSync } from 'node:fs'
+import { dirname, join } from 'node:path'
+import { fileURLToPath } from 'node:url'
+
+const bin = join(
+  dirname(fileURLToPath(import.meta.url)),
+  process.platform === 'win32' ? 'zond-bin.exe' : 'zond-bin',
+)
+
+if (!existsSync(bin)) {
+  console.error(
+    'zond binary is missing — the postinstall download likely failed.\n' +
+      'Re-run: npm rebuild @kirrosh/zond\n' +
+      'Or install another way: https://github.com/kirrosh/zond#install',
+  )
+  process.exit(1)
+}
+
+const result = spawnSync(bin, process.argv.slice(2), { stdio: 'inherit' })
+process.exit(result.status ?? 1)

package/package.json

@@ -1,60 +1,73 @@
 {
   "name": "@kirrosh/zond",
-  "version": "0.26.1",
-  "description": "API testing platform — define tests in YAML, run from CLI, generate from OpenAPI specs",
+  "version": "0.27.1",
+  "description": "API hygiene scanner for small teams and their coding agents — test REST API endpoints against the OpenAPI spec, catch contract drift, track coverage.",
   "license": "MIT",
-  "module": "index.ts",
   "type": "module",
+  "repository": {
+    "type": "git",
+    "url": "git+https://github.com/kirrosh/zond.git"
+  },
+  "homepage": "https://github.com/kirrosh/zond#readme",
+  "bugs": {
+    "url": "https://github.com/kirrosh/zond/issues"
+  },
   "keywords": [
-    "api",
-    "testing",
+    "api-testing",
+    "rest-api",
     "openapi",
-    "yaml",
+    "contract-testing",
+    "contract-drift",
+    "schema-validation",
+    "api-coverage",
+    "api-hygiene",
+    "coding-agents",
+    "ai-agents",
+    "claude-code",
+    "sarif",
     "cli",
-    "rest",
     "http"
   ],
   "files": [
-    "src/",
+    "bin/zond.mjs",
+    "scripts/npm/postinstall.mjs",
     "README.md",
     "LICENSE",
     "CHANGELOG.md"
   ],
   "bin": {
-    "zond": "src/cli/index.ts"
+    "zond": "bin/zond.mjs"
   },
   "scripts": {
     "zond": "bun run src/cli/index.ts",
+    "postinstall": "node scripts/npm/postinstall.mjs",
     "backlog": "bunx backlog",
     "board": "bunx backlog board",
     "test": "bun run test:unit && bun run test:mocked",
     "test:unit": "bun test tests/",
     "test:mocked": "bun run scripts/run-mocked-tests.ts",
-    "check": "tsc --noEmit --project tsconfig.json",
+    "check": "tsc --noEmit --project tsconfig.json && bun run scripts/sync-plugin-skills.ts --check",
     "schemas": "bun run scripts/emit-json-schemas.ts",
     "schemas:check": "bun run scripts/emit-json-schemas.ts --check",
     "lint:dead": "knip --reporter compact",
-    "build": "bun build --compile src/cli/index.ts --outfile dist/zond && bun run scripts/codesign-darwin.ts ./dist/zond"
+    "build": "bun build --compile src/cli/index.ts --outfile dist/zond && bun run scripts/codesign-darwin.ts ./dist/zond",
+    "sync:plugin": "bun run scripts/sync-plugin-skills.ts"
   },
   "devDependencies": {
-    "@types/bun": "latest",
-    "ajv-draft-04": "^1.0.0",
-    "backlog.md": "^1.44.0",
-    "knip": "^6.7.0"
-  },
-  "engines": {
-    "bun": ">=1.1.0"
-  },
-  "peerDependencies": {
-    "typescript": "^5"
-  },
-  "dependencies": {
     "@readme/openapi-parser": "^5.5.0",
+    "@types/bun": "latest",
     "ajv": "^8.20.0",
+    "ajv-draft-04": "^1.0.0",
     "ajv-formats": "^3.0.1",
+    "backlog.md": "^1.44.0",
     "commander": "^14.0.0",
+    "knip": "^6.7.0",
     "openapi-types": "^12.1.3",
+    "typescript": "^5",
     "yaml": "^2.8.3",
     "zod": "^4.3.6"
+  },
+  "engines": {
+    "node": ">=20"
   }
 }

package/scripts/npm/postinstall.mjs

@@ -0,0 +1,76 @@
+#!/usr/bin/env node
+// npm postinstall: download the platform binary from the GitHub release
+// matching this package version, verify its sha256, drop it next to the
+// bin launcher. Pure node stdlib — the published package has zero deps.
+import { createHash } from 'node:crypto'
+import { chmodSync, existsSync, mkdirSync, readFileSync, writeFileSync } from 'node:fs'
+import { dirname, join } from 'node:path'
+import { fileURLToPath, pathToFileURL } from 'node:url'
+
+const REPO = 'kirrosh/zond'
+const PKG_DIR = join(dirname(fileURLToPath(import.meta.url)), '..', '..')
+
+export function resolveTarget(platform = process.platform, arch = process.arch) {
+  const os = { darwin: 'darwin', linux: 'linux', win32: 'win' }[platform]
+  const cpu = { x64: 'x64', arm64: 'arm64' }[arch]
+  if (!os || !cpu || (os === 'win' && cpu !== 'x64')) {
+    throw new Error(
+      `Unsupported platform: ${platform}-${arch}. Prebuilt binaries: https://github.com/${REPO}/releases`,
+    )
+  }
+  return `${os}-${cpu}`
+}
+
+export function sha256(buf) {
+  return createHash('sha256').update(buf).digest('hex')
+}
+
+export function expectedChecksum(checksumsText, artifact) {
+  for (const line of checksumsText.split('\n')) {
+    const [hash, name] = line.trim().split(/\s+/)
+    if (name === artifact) return hash
+  }
+  throw new Error(`No entry for ${artifact} in checksums.txt`)
+}
+
+async function download(url) {
+  const res = await fetch(url)
+  if (!res.ok) throw new Error(`Download failed (${res.status}): ${url}`)
+  return Buffer.from(await res.arrayBuffer())
+}
+
+async function main() {
+  if (process.env.ZOND_SKIP_DOWNLOAD) return
+  // Dev checkout (src/ is not shipped in the npm package) — nothing to download.
+  if (existsSync(join(PKG_DIR, 'src'))) return
+
+  const { version } = JSON.parse(readFileSync(join(PKG_DIR, 'package.json'), 'utf8'))
+  const target = resolveTarget()
+  const artifact = target === 'win-x64' ? `zond-${target}.exe` : `zond-${target}`
+  // ZOND_DOWNLOAD_BASE: mirror / clean-machine E2E override.
+  const base =
+    process.env.ZOND_DOWNLOAD_BASE || `https://github.com/${REPO}/releases/download/v${version}`
+  const [binary, checksums] = await Promise.all([
+    download(`${base}/${artifact}`),
+    download(`${base}/checksums.txt`),
+  ])
+
+  const expected = expectedChecksum(checksums.toString('utf8'), artifact)
+  const actual = sha256(binary)
+  if (actual !== expected) {
+    throw new Error(`Checksum mismatch for ${artifact}: expected ${expected}, got ${actual}`)
+  }
+
+  const dest = join(PKG_DIR, 'bin', target === 'win-x64' ? 'zond-bin.exe' : 'zond-bin')
+  mkdirSync(dirname(dest), { recursive: true })
+  writeFileSync(dest, binary)
+  chmodSync(dest, 0o755)
+  console.log(`zond ${version} (${target}) ready`)
+}
+
+if (process.argv[1] && import.meta.url === pathToFileURL(process.argv[1]).href) {
+  main().catch((err) => {
+    console.error(`zond postinstall failed: ${err.message}`)
+    process.exit(1)
+  })
+}

package/src/CLAUDE.md

@@ -1,112 +0,0 @@
-# src/ — architecture map
-
-Этот файл — точка входа в **код** zond. Workspace-контракт (`.api-fixtures.yaml` vs `.env.yaml`) — в [`../AGENTS.md`](../AGENTS.md), пользовательский CLI-референс — в [`../ZOND.md`](../ZOND.md).
-
-zond — API hygiene scanner. **Dumb-tool**: умеет дёргать API, собирать evidence, проверять конформность спеки. Не зовёт LLM, не делает решения — это работа агента, который скармливает zond'у YAML и читает обратно отчёты.
-
-### Litmus-тест: что кладём в zond, а что оставляем агенту
-
-m-24 срезал эвристический слой (discovery/seed/cascade, severity-калибраторы, anti-FP-гейты, annotate-auto). Чтобы он не наползал обратно по одному «разумному» фиксу за раз — **каждое изменение zond проходит один тест: детерминировано ли оно?** Один и тот же вход → один и тот же выход, без догадок про намерение / вину / серьёзность / «баг ли это на самом деле».
-
-- ✅ **В zond** (детерминированное, быстрое, скучное): слать запросы, валидировать схемы, считать диффы, эмитить evidence + closed-enum хинты, **корректно ограничивать scope чека** (какие case-kinds / методы он оценивает), плюс plumbing/скорость/артефакты. zond — удобный работающий быстрый инструмент.
-- ❌ **Агенту** (суждение): severity, приоритет, атрибуция вины (spec vs backend), «это false-positive?», «это эксплуатируемо?», выдумывание фикстур, многопроходный discovery. Сложное решает умный агент, читая сырой evidence.
-
-Практическое следствие для «zond что-то пропустил/зашумил» из аудита: **чини scope чека детерминированно** (напр. ARV-340 — чек смотрел не те case-kinds) — но **не добавляй suppression/down-rank «это FP»** (это ровно тот anti-FP-гейт, что убрал ARV-337; FP отсекает агент в триаже). `recommended_action` — самая размытая из выживших поверхностей: это тонкий routing-хинт, держи его тупым, не выращивай в мини-классификатор.
-
-**Evidence-over-inference (ARV-376):** статические инференсеры по форме URL (какой `/list` владеет `{id}`, какой ресурс за `{code}`) имеют бесконечный хвост идиосинкразий спеков. **Не** закрывай хвост растущими хардкод-списками маркеров/глаголов (`LIST_VERB_SUFFIXES`, `ACCESSOR_MARKER_SEGS`, версии) — это ровно тот creep «по одному разумному за раз». Правило: **новый маркер/глагол добавляется только под реальный спек, который его упражняет**, никогда «на всякий случай» (так был убран спекулятивный `bycode`). А когда вывод неуверенный — не тупик (`miss-no-list`), а **`item.candidates`**: правдоподобные эндпоинты, ранжированные по структурной близости, БЕЗ выбора значения. Граф — детерминизм zond'а; выбор — суждение агента. Выравнивание двух слоёв, где один уже что-то делает (напр. version-strip, ARV-381), — это консистентность, не новое знание, и ок.
-
-## Top-level layout
-
-| Каталог | Назначение |
-|---|---|
-| `cli/` | CLI surface: парсинг argv, регистрация команд, форматирование вывода. |
-| `core/` | Бизнес-логика: probes, checks, generators, runner, reporters. **Никакой зависимости от commander/process.argv** — это переиспользуемое ядро. |
-| `db/` | SQLite-слой: schema, migrations, queries для истории runs/results. |
-
-**Правило**: `cli/commands/<cmd>.ts` парсит флаги и зовёт функции из `core/`. Бизнес-логика в `cli/` — code-smell (см. ARV-257 про `bootstrap.ts`/`discover.ts`, которые лежат в `cli/commands/` но не регистрируют команды).
-
-## cli/
-
-| Файл | Что |
-|---|---|
-| `index.ts` | Entry point бинаря. |
-| `program.ts` | Commander root: регистрирует все top-level команды. |
-| `argv.ts`, `resolve.ts` | Аргумент-парсинг и `--api` chain resolution (per-command > global > `ZOND_API` > `.zond/current-api`). |
-| `runtime.ts` | Глобальный runtime context (`api`, workspace paths, http auditor). |
-| `output.ts`, `json-envelope.ts`, `json-schemas.ts` | Forматирование результатов: текстовый/JSON envelope + Ajv-валидация envelope-схем. |
-| `status-filter.ts` | Общий парсер `--status` фильтров. |
-| `commands/` | Один файл на команду; `commands/init/`, `commands/api/`, `commands/probe/` — кластеры с subcommands. |
-
-Контракт команды: парсит флаги, валидирует через зависимости из `core/`, эмиттит результат через `output.ts` (envelope) или streaming-репортер.
-
-## core/ — подсистемы
-
-| Подкаталог | Роль |
-|---|---|
-| `parser/`, `spec/` | Парсинг OpenAPI, dereferenced spec.json, extraction схем. |
-| `generator/` | Синтез тестовых YAML-сьютов из spec: `suite-generator.ts`, `data-factory.ts`, `resources-builder.ts`. |
-| `runner/` | HTTP-исполнение: `executor.ts`, retry, assertions, schema validation. |
-| `checks/` | Schemathesis-style depth checks (status_code_conformance, response_schema_conformance, idempotency, …). Орк — `checks/runner.ts`. Один файл = один check class. |
-| `probe/` | Активные security/mass-assignment probes. Сейчас два монолита (`security-probe.ts`, `mass-assignment-probe.ts`) — кандидаты на split (ARV-295, ARV-296). |
-| `lint/` | Static spec-lint (`check spec`). Не путать с `checks/` — это разные команды и разные envelope'ы. |
-| `diagnostics/` | Triage финдингов: классификация ошибок, hints, `recommended_action` mapping. |
-| `severity/` | Per-finding severity calibration (ARV-283–288 актуализирует). |
-| `anti-fp/` | Anti-false-positive guard'ы; registry-pattern частично (см. ARV-259). |
-| `coverage/` | Покрытие endpoint'ов: test-runs + audit-runs, dual-metric. |
-| `reporter/` | Форматирование `Run`/`Check`/`Probe` результатов в текст/JSON/NDJSON/SARIF/JUnit/HTML. |
-| `exporter/` | HTML-отчёты, case studies. |
-| `audit/` | Высокоуровневая `audit` команда — wraps checks + probe + report для CI-smoke. |
-| `workspace/` | Layout API-папки: `apis/<name>/{spec,catalog,resources,fixtures,env,secrets}`. |
-| `context/`, `identity/`, `secrets/` | Загрузка контекста запуска, identity tokens, секреты. |
-| `util/`, `utils.ts` | Общие хелперы. URL/headers/schema-валидация частично дублируются с `probe/shared.ts` — кандидат на консолидацию (ARV-297). |
-| `selectors/`, `meta/`, `classifier/` | Endpoint-classification и meta-аттрибуты для дискавери и группировки. |
-| `setup-api.ts` | Регистрация нового API в workspace (used by `add api`/`refresh-api`). |
-
-## db/
-
-SQLite на bun. `migrations/` — versioned migrations, `schema.ts` — текущий schema, `queries/` — типизированные SQL. Используется reporter'ами и `coverage` для исторических runs. Retention (ARV-266): `zond db stats` — счётчики строк per `run_kind`; `zond db prune` — opt-in удаление (per-kind defaults: check/probe/request/fixture старше 7d, `regular` — forever; `--older-than 30d` для uniform-cutoff), VACUUM после delete.
-
-## Data-flow по фазам
-
-zond работает по 5 фазам — это ментальная модель CLI и skills:
-
-```
-Setup ──► Generate ──► Run ──► Analyze ──► Report
-```
-
-| Фаза | Команды | Что происходит | Артефакты |
-|---|---|---|---|
-| **Setup** | `init`, `add api`, `refresh-api`, `use`, `doctor`, `prepare-fixtures` | Регистрируем API, тянем spec, заполняем `.env.yaml`. | `apis/<name>/{spec.json, .api-catalog.yaml, .api-resources.yaml, .api-fixtures.yaml, .env.yaml}` |
-| **Generate** | `generate`, `api annotate`, `prepare-fixtures` | Синтез тестовых YAML из spec + аннотации (seed-bodies, idempotency, pagination, lifecycle). | `apis/<name>/tests/*.yaml`, annotations |
-| **Run** | `run`, `session`, `request`, `audit`, `checks run`, `probe <class>` | Дергаем API: тесты, depth-checks, probes. Пишем runs/results в SQLite. | `runs/` (DB), HTTP-аудит |
-| **Analyze** | `coverage`, `db {runs,run,collections,diagnose,compare}`, `check spec`, `describe`, `catalog` | Триаж результатов, coverage-гэпы, lint спеки. Финдинги через `recommended_action`. | Envelope JSON, finding-streams |
-| **Report** | `report`, `report-bundle`, `--report {json,ndjson,sarif,junit,html,markdown}` | Конвертация runs/findings в shareable форматы. | NDJSON-stream, SARIF, HTML, JUnit |
-
-Полная картина с iron-rules и pre-flight checklist'ами — в skill-документах (`src/cli/commands/init/templates/skills/*.md`), которые ставятся через `zond init`.
-
-## Extension points
-
-Когда добавляешь новую функциональность — это **типичные точки расширения**:
-
-| Хочу добавить | Куда |
-|---|---|
-| Новый depth-check (schemathesis-style) | `core/checks/checks/<name>.ts` + регистрация в `core/checks/runner.ts`. |
-| Новый probe-class (security/mass-assignment-like) | `core/probe/<class>/` подмодуль; subcommand в `cli/commands/probe/`. Не клади всё в один монолит — см. ARV-295/ARV-296. |
-| Новый reporter format | `core/reporter/<format>.ts`; зарегистрировать в `cli/output.ts` или per-command `--report`. |
-| Новый CLI флаг с envelope-выводом | `cli/commands/<cmd>.ts` + Ajv-схема в `cli/json-schemas.ts`. Envelope shape — единый, не плоди вариации. |
-| Анти-FP guard для check/probe | `core/anti-fp/rules/<rule>.ts` (registry-pattern в развитии — ARV-259). |
-| Новая diagnostic-hint | `core/diagnostics/` — closed-enum `recommended_action`, не магические строки. |
-| Новая DB-сущность | `src/db/migrations/<NNNN>-<name>.sql` + tiped query в `db/queries/`. |
-
-## Workspace contract (ссылка)
-
-Артефакты в `apis/<name>/` (`spec.json` / `.api-catalog.yaml` / `.api-resources.yaml` / **`.api-fixtures.yaml` manifest** / **`.env.yaml` values**) — описаны в [`../AGENTS.md`](../AGENTS.md). Главное правило: **manifest — source of truth о списке переменных, env — только values**.
-
-## Conventions
-
-- TypeScript strict mode, `bun run check` = `tsc --noEmit` без warnings (`noUnusedLocals`/`noUnusedParameters` включены).
-- Тесты — `bun test` (unit + integration), `bun run test:mocked` (HTTP-mocked).
-- Сборка — `bun run build` → single-file `dist/zond` бинарь.
-- Никаких `console.log` в `core/` — выводи через `cli/output.ts` или reporter slot.
-- Никаких SDK Anthropic/Ollama/прочих LLM-провайдеров внутри zond — это dumb-tool (см. `feedback_zond_no_llm_calls`).
-- Финдинги — через closed-enum `recommended_action`, агент триажит по enum, не по тексту message.

package/src/bun-types.d.ts

@@ -1,5 +0,0 @@
-declare module "*.css" {
-  const path: string;
-  export default path;
-}
-

package/src/cli/argv.ts

@@ -1,122 +0,0 @@
-/**
- * Pre-commander argv handling and shared argument parsers used across the
- * commander tree. Pulled out of program.ts (TASK-190, m-11) so program.ts
- * shrinks toward "just command registration" and these helpers can be
- * unit-tested in isolation.
- */
-
-import { InvalidArgumentError } from "commander";
-import type { ReporterName } from "../core/reporter/types.ts";
-
-// ── MSYS path preprocessing ──
-//
-// Git Bash on Windows converts API paths like "/users" → "C:/Program Files/Git/users".
-// We reverse that for flags whose values are API paths, not filesystem paths.
-
-const MSYS_PREFIX_RE = /^[A-Z]:[\\/](?:Program Files[\\/]Git|msys64|usr)[\\/]/i;
-
-const API_PATH_FLAGS = new Set(["--path", "--json-path"]);
-
-function stripMsysPath(value: string): string {
-  if (!MSYS_PREFIX_RE.test(value)) return value;
-  return value.replace(MSYS_PREFIX_RE, "/");
-}
-
-/**
- * Pre-process argv before commander sees it: undo Git Bash's MSYS path conversion
- * for `--path` and `--json-path` values (both `--path X` and `--path=X` forms).
- */
-export function preprocessArgv(argv: string[]): string[] {
-  const out = [...argv];
-  for (let i = 0; i < out.length; i++) {
-    const arg = out[i]!;
-
-    // --flag=value form
-    const eqIdx = arg.indexOf("=");
-    if (arg.startsWith("--") && eqIdx !== -1) {
-      const flag = arg.slice(0, eqIdx);
-      if (API_PATH_FLAGS.has(flag)) {
-        out[i] = `${flag}=${stripMsysPath(arg.slice(eqIdx + 1))}`;
-      }
-      continue;
-    }
-
-    // --flag value form
-    if (API_PATH_FLAGS.has(arg)) {
-      const next = out[i + 1];
-      if (next !== undefined && !next.startsWith("-")) {
-        out[i + 1] = stripMsysPath(next);
-      }
-    }
-  }
-  return out;
-}
-
-// ── Argument parsers ──
-
-export function parsePositiveInt(name: string): (raw: string) => number {
-  return (raw: string) => {
-    const n = Number.parseInt(raw, 10);
-    if (Number.isNaN(n) || n <= 0) {
-      throw new InvalidArgumentError(`Invalid ${name} value: ${raw}`);
-    }
-    return n;
-  };
-}
-
-/** `--rate-limit` accepts a positive integer (req/sec cap) or the literal
- *  string `auto` (no static cap; throttle adaptively from ratelimit-* headers). */
-export function parseRateLimit(raw: string): number | "auto" {
-  if (raw.toLowerCase() === "auto") return "auto";
-  const n = Number.parseInt(raw, 10);
-  if (Number.isNaN(n) || n <= 0) {
-    throw new InvalidArgumentError(`Invalid --rate-limit value: ${raw} (expected a positive integer or "auto")`);
-  }
-  return n;
-}
-
-export function parseNonNegativeInt(name: string): (raw: string) => number {
-  return (raw: string) => {
-    const n = Number.parseInt(raw, 10);
-    if (Number.isNaN(n) || n < 0 || String(n) !== raw.trim()) {
-      throw new InvalidArgumentError(`Invalid ${name} value: ${raw} (expected a non-negative integer)`);
-    }
-    return n;
-  };
-}
-
-export function parseInteger(name: string): (raw: string) => number {
-  return (raw: string) => {
-    const n = Number.parseInt(raw, 10);
-    if (Number.isNaN(n)) {
-      throw new InvalidArgumentError(`Invalid ${name} value: ${raw}`);
-    }
-    return n;
-  };
-}
-
-export function parsePercentage(raw: string): number {
-  const n = Number.parseInt(raw, 10);
-  if (Number.isNaN(n) || n < 0 || n > 100) {
-    throw new InvalidArgumentError(`Invalid --fail-on-coverage value: ${raw} (must be 0–100)`);
-  }
-  return n;
-}
-
-export const collect = (val: string, prev: string[]): string[] => [...prev, val];
-
-const VALID_REPORTERS = new Set<string>(["console", "json", "junit"]);
-
-export function parseReporter(raw: string): ReporterName {
-  if (!VALID_REPORTERS.has(raw)) {
-    throw new InvalidArgumentError(`Unknown reporter: ${raw}. Available: console, json, junit`);
-  }
-  return raw as ReporterName;
-}
-
-/** Helper: split repeatable values like ["a,b", "c"] → ["a", "b", "c"] */
-export function flatSplit(values: string[] | undefined): string[] | undefined {
-  if (!values || values.length === 0) return undefined;
-  const out = values.flatMap((v) => v.split(",")).filter(Boolean);
-  return out.length > 0 ? out : undefined;
-}