@nitra/cursor 1.13.11 → 1.13.13

package/rules/ga/policy/git_ai/template/git-ai.yml.snippet.yml

@@ -0,0 +1,30 @@
+name: Git AI
+
+on:
+  pull_request:
+    types: [closed]
+
+concurrency:
+  group: ${{ github.ref }}-${{ github.workflow }}
+  cancel-in-progress: true
+
+jobs:
+  git-ai:
+    if: github.event.pull_request.merged == true
+    runs-on: ubuntu-latest
+    permissions:
+      contents: write
+
+    steps:
+      - name: Install git-ai
+        run: |
+          curl -fsSL https://usegitai.com/install.sh | bash
+          echo "$HOME/.git-ai/bin" >> $GITHUB_PATH
+      - name: Run git-ai
+        id: run-git-ai
+        env:
+          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
+        run: |
+          git config --global user.name "github-actions[bot]"
+          git config --global user.email "github-actions[bot]@users.noreply.github.com"
+          git-ai ci github run

package/rules/ga/policy/lint_ga/lint_ga.rego

@@ -1,44 +1,50 @@
-# Порт перевірок `validateLintGaWorkflowStructure` + `validateLintGaOnTriggers` з
-# `npm/scripts/check-ga.mjs` (ga.mdc).
+# Перевірка `.github/workflows/lint-ga.yml` (ga.mdc).
 #
-# Запуск (локально):
-#   conftest test .github/workflows/lint-ga.yml \
-#     -p npm/policy/ga --namespace ga.lint_ga
-#
-# Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
-# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
-# (.cursor/rules/conftest.mdc). Лінт — `bun run lint-rego` (regal).
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/lint-ga.yml.snippet.yml.
 package ga.lint_ga
 
 import rego.v1
 
-# ── Очікувані значення ─────────────────────────────────────────────────────
-
-expected_name := "Lint GA"
-
-expected_branches := {"dev", "main"}
-
-expected_push_paths := {".github/actions/**", ".github/workflows/**"}
-
-# ── Аліаси на input ────────────────────────────────────────────────────────
-#
-# YAML 1.1 quirk: `on:` → boolean true → у конфтесті ключ "true".
+# ── Аліаси ─────────────────────────────────────────────────────────────────
 
 gha_on := input["true"]
 
-# Job-id містить дефіс — звертаємося через `[…]`. Імʼя `job` (без префіксу пакету)
-# — щоб уникнути regal-правила `rule-name-repeats-package`.
 job := input.jobs["lint-ga"]
 
-# Усі `uses:` зі steps цього job-а — для перевірки членства.
 job_uses_set contains job.steps[_].uses
 
-# Усі `run:` зі steps цього job-а, склеєні в один blob — для substring-перевірки.
 job_run_blob := concat("\n", [run |
 	run := job.steps[_].run
 ])
 
-# ── deny rules (контигно — regal: messy-rule) ──────────────────────────────
+expected_name := data.template.snippet.name
+
+expected_push_branches := {b | some b in data.template.snippet.on.push.branches}
+
+expected_pr_branches := {b | some b in data.template.snippet.on.pull_request.branches}
+
+expected_push_paths := {p | some p in data.template.snippet.on.push.paths}
+
+expected_runs_on := data.template.snippet.jobs["lint-ga"]["runs-on"]
+
+expected_perms := data.template.snippet.jobs["lint-ga"].permissions
+
+# Required `uses:` зі template — фільтруємо тільки кроки що мають `uses`.
+expected_uses_set contains u if {
+	some step in data.template.snippet.jobs["lint-ga"].steps
+	u := object.get(step, "uses", "")
+	u != ""
+}
+
+# Required `run:` substrings — collected from steps with `run`.
+expected_run_blob := concat("\n", [r |
+	some step in data.template.snippet.jobs["lint-ga"].steps
+	r := object.get(step, "run", "")
+	r != ""
+])
+
+# ── deny rules ─────────────────────────────────────────────────────────────
 
 deny contains msg if {
 	input.name != expected_name
@@ -46,17 +52,17 @@ deny contains msg if {
 }
 
 deny contains msg if {
-	not push_branches_have_dev_and_main
+	not branches_superset_of(gha_on.push.branches, expected_push_branches)
 	msg := "lint-ga.yml: on.push.branches має містити dev і main (ga.mdc)"
 }
 
 deny contains msg if {
-	not pr_branches_have_dev_and_main
+	not branches_superset_of(gha_on.pull_request.branches, expected_pr_branches)
 	msg := "lint-ga.yml: on.pull_request.branches має містити dev і main (ga.mdc)"
 }
 
 deny contains msg if {
-	not push_paths_have_required
+	not paths_superset_of(gha_on.push.paths, expected_push_paths)
 	msg := "lint-ga.yml: on.push.paths має містити .github/actions/** і .github/workflows/** (ga.mdc)"
 }
 
@@ -66,13 +72,13 @@ deny contains msg if {
 }
 
 deny contains msg if {
-	job["runs-on"] != "ubuntu-latest"
-	msg := "lint-ga.yml: runs-on має бути ubuntu-latest (ga.mdc)"
+	job["runs-on"] != expected_runs_on
+	msg := sprintf("lint-ga.yml: runs-on має бути %s (ga.mdc)", [expected_runs_on])
 }
 
 deny contains msg if {
-	job.permissions.contents != "read"
-	msg := "lint-ga.yml: permissions мають бути contents: read (ga.mdc)"
+	job.permissions.contents != expected_perms.contents
+	msg := sprintf("lint-ga.yml: permissions.contents має бути %s (ga.mdc)", [expected_perms.contents])
 }
 
 deny contains msg if {
@@ -81,38 +87,23 @@ deny contains msg if {
 }
 
 deny contains msg if {
-	not "actions/checkout@v6" in job_uses_set
-	msg := "lint-ga.yml: має бути uses: actions/checkout@v6 (ga.mdc)"
-}
-
-deny contains msg if {
-	not "./.github/actions/setup-bun-deps" in job_uses_set
-	msg := "lint-ga.yml: має бути uses: ./.github/actions/setup-bun-deps (ga.mdc)"
-}
-
-deny contains msg if {
-	not "astral-sh/setup-uv@v8.0.0" in job_uses_set
-	msg := "lint-ga.yml: має бути uses: astral-sh/setup-uv@v8.0.0 (ga.mdc)"
+	some required_use in expected_uses_set
+	not required_use in job_uses_set
+	msg := sprintf("lint-ga.yml: має бути uses: %s (ga.mdc)", [required_use])
 }
 
 deny contains msg if {
+	expected_run_blob != ""
 	not contains(job_run_blob, "bun run lint-ga")
 	msg := "lint-ga.yml: має бути крок run: bun run lint-ga (ga.mdc)"
 }
 
 # ── helpers ────────────────────────────────────────────────────────────────
 
-push_branches_have_dev_and_main if {
-	branches := gha_on.push.branches
-	expected_branches & {b | some b in branches} == expected_branches
-}
-
-pr_branches_have_dev_and_main if {
-	branches := gha_on.pull_request.branches
-	expected_branches & {b | some b in branches} == expected_branches
+branches_superset_of(actual, expected) if {
+	expected & {b | some b in actual} == expected
 }
 
-push_paths_have_required if {
-	paths := gha_on.push.paths
-	expected_push_paths & {p | some p in paths} == expected_push_paths
+paths_superset_of(actual, expected) if {
+	expected & {p | some p in actual} == expected
 }

package/rules/ga/policy/lint_ga/template/lint-ga.yml.snippet.yml

@@ -0,0 +1,35 @@
+name: Lint GA
+
+on:
+  push:
+    branches:
+      - dev
+      - main
+    paths:
+      - '.github/actions/**'
+      - '.github/workflows/**'
+  pull_request:
+    branches:
+      - dev
+      - main
+
+concurrency:
+  group: ${{ github.ref }}-${{ github.workflow }}
+  cancel-in-progress: true
+
+jobs:
+  lint-ga:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+    steps:
+      - uses: actions/checkout@v6
+        with:
+          persist-credentials: false
+
+      - uses: ./.github/actions/setup-bun-deps
+
+      - uses: astral-sh/setup-uv@v8.0.0
+
+      - name: Lint GA
+        run: bun run lint-ga

package/rules/text/lint/lint.mjs

@@ -2,18 +2,20 @@
  * CLI-обгортка над канонічним `lint-text` (text.mdc): послідовно
  *   1) `cspell .` — перевірка правопису з `@nitra/cspell-dict`;
  *   2) `runShellcheckText()` — авто-фікс і фінальна перевірка `*.sh` через `shellcheck`;
- *   3) `bunx markdownlint-cli2 --fix "**\/*.md" "**\/*.mdc"` — авто-фікс Markdown;
- *   4) `runV8rWithGlobs()` — schema-валідація json/json5/yaml/yml/toml через v8r з каталогом `@nitra/cursor`.
+ *   3) `runDotenvLinter()` — авто-фікс і фінальна перевірка `.env*` через `dotenv-linter`;
+ *   4) `bunx markdownlint-cli2 --fix "**\/*.md" "**\/*.mdc"` — авто-фікс Markdown;
+ *   5) `runV8rWithGlobs()` — schema-валідація json/json5/yaml/yml/toml через v8r з каталогом `@nitra/cursor`.
  *
  * Перший ненульовий код з ланцюжка повертається як код виходу; наступні кроки не запускаються.
  * Експортовано як `runLintTextCli` — використовується з `bin/n-cursor.js` як підкоманда `lint-text`.
  */
 import { runLintStep } from '../../../scripts/utils/run-lint-step.mjs'
+import { runDotenvLinter } from './run-dotenv-linter.mjs'
 import { runShellcheckText } from './run-shellcheck.mjs'
 import { runV8rWithGlobs } from './run-v8r.mjs'
 
 /**
- * Виконує канонічний `lint-text`: cspell → run-shellcheck → markdownlint-cli2 → run-v8r.
+ * Виконує канонічний `lint-text`: cspell → run-shellcheck → run-dotenv-linter → markdownlint-cli2 → run-v8r.
  * Першу помилку повертаємо як код виходу; наступні кроки не запускаються.
  * Усі кроки синхронні (`spawnSync` + sync-ентрі з пакета), тому функція не async.
  * @returns {number} 0 — все OK, інакше — код першого кроку, що впав
@@ -26,6 +28,10 @@ export function runLintTextCli() {
   const shellcheckCode = runShellcheckText()
   if (shellcheckCode !== 0) return shellcheckCode
 
+  console.log('\n▶ dotenv-linter (авто-фікс + фінальна перевірка .env*)')
+  const dotenvCode = runDotenvLinter()
+  if (dotenvCode !== 0) return dotenvCode
+
   const markdownlintCode = runLintStep('markdownlint', 'bunx', ['markdownlint-cli2', '--fix', '**/*.md', '**/*.mdc'])
   if (markdownlintCode !== 0) return markdownlintCode
 

package/rules/text/lint/run-dotenv-linter.mjs

@@ -0,0 +1,95 @@
+/**
+ * Запуск dotenv-linter у ланцюжку lint-text: спочатку авто-фікс, потім фінальна перевірка.
+ *
+ * dotenv-linter — швидкий лінтер для `.env`-файлів (LowercaseKey, DuplicatedKey, IncorrectDelimiter,
+ * UnorderedKey тощо). Інструмент очікується у PATH і **не** додається в `dependencies`/`devDependencies`
+ * (аналогічно shellcheck). Якщо `dotenv-linter` відсутній — друкуємо підказки встановлення
+ * (`brew install dotenv-linter` на macOS) і повертаємо 1.
+ *
+ * Файли шукає сам `dotenv-linter` у режимі `-r` (рекурсивно по дереву проєкту). Виключаємо
+ * `node_modules` і `.envrc` (direnv shell-синтаксис, не key=value формат). `.bak`-файли інструмент
+ * ігнорує самостійно. Якщо `.env*`-файлів немає, dotenv-linter повертає 0 ("Nothing to check").
+ *
+ * Авто-фікс — один прогон `dotenv-linter fix -r --no-backup --quiet . --exclude …` (інструмент сам
+ * застосовує усі виправлення без потреби в diff/patch, на відміну від shellcheck). Після цього —
+ * фінальний `dotenv-linter check -r --quiet . --exclude …`; будь-яке залишкове порушення — ненульовий
+ * код виходу.
+ */
+import { spawnSync } from 'node:child_process'
+import { resolve } from 'node:path'
+
+import { isRunAsCli } from '../../../scripts/cli-entry.mjs'
+import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
+
+/** Каталоги/файли, які виключаємо з рекурсивного сканування dotenv-linter. */
+const EXCLUDED_PATHS = ['node_modules', '.envrc']
+
+/**
+ * Друкує підказки встановлення dotenv-linter у stderr.
+ * @returns {void}
+ */
+function printDotenvLinterInstallHints() {
+  process.stderr.write(
+    [
+      '❌ dotenv-linter не знайдено в PATH.',
+      'Встанови інструмент і повтори lint-text:',
+      '  macOS:    brew install dotenv-linter',
+      '  Linux:    curl -sSfL https://git.io/JLbXn | sh -s -- -b /usr/local/bin',
+      '  cargo:    cargo install dotenv-linter',
+      ''
+    ].join('\n')
+  )
+}
+
+/**
+ * Будує перелік аргументів `--exclude <path>` для dotenv-linter.
+ * @returns {string[]} плоский масив `['--exclude', 'node_modules', '--exclude', '.envrc']`
+ */
+function buildExcludeArgs() {
+  return EXCLUDED_PATHS.flatMap(p => ['--exclude', p])
+}
+
+/**
+ * Запускає dotenv-linter з авто-фіксом і фінальною перевіркою.
+ * @param {string} [cwd] робочий каталог (за замовчуванням `process.cwd()`)
+ * @returns {number} 0 — OK; 1 — інструмент відсутній або є залишкові порушення
+ */
+export function runDotenvLinter(cwd = process.cwd()) {
+  const root = resolve(cwd)
+  const bin = resolveCmd('dotenv-linter')
+  if (!bin) {
+    printDotenvLinterInstallHints()
+    return 1
+  }
+
+  const exclude = buildExcludeArgs()
+  const fixRun = spawnSync(bin, ['fix', '-r', '--no-backup', '--quiet', ...exclude, '.'], {
+    cwd: root,
+    encoding: 'utf8',
+    env: process.env,
+    stdio: ['ignore', 'pipe', 'pipe']
+  })
+  if (fixRun.error) {
+    process.stderr.write(`${fixRun.error.message}\n`)
+    return 1
+  }
+
+  const checkRun = spawnSync(bin, ['check', '-r', '--quiet', ...exclude, '.'], {
+    cwd: root,
+    encoding: 'utf8',
+    env: process.env,
+    stdio: ['ignore', 'pipe', 'pipe']
+  })
+  if (checkRun.error) {
+    process.stderr.write(`${checkRun.error.message}\n`)
+    return 1
+  }
+  if (checkRun.status === 0) return 0
+  if (checkRun.stdout?.length) process.stdout.write(checkRun.stdout)
+  if (checkRun.stderr?.length) process.stderr.write(checkRun.stderr)
+  return 1
+}
+
+if (isRunAsCli()) {
+  process.exitCode = runDotenvLinter()
+}

package/rules/text/text.mdc

@@ -1,10 +1,10 @@
 ---
-description: Обробка та перевірка текстових файлів, oxfmt, cspell, shellcheck (sh), markdownlint-cli2, v8r, CI
+description: Обробка та перевірка текстових файлів, oxfmt, cspell, shellcheck (sh), dotenv-linter (.env*), markdownlint-cli2, v8r, CI
 alwaysApply: true
-version: '1.26'
+version: '1.27'
 ---
 
-**oxfmt** (`.oxfmtrc.json`, редактор), **cspell**, **shellcheck** (tracked `*.sh` у `lint-text`), **markdownlint-cli2**, **[v8r](https://chris48s.github.io/v8r/)** ([Schema Store](https://www.schemastore.org/)), розширення **DavidAnson.vscode-markdownlint** / **timonwong.shellcheck**, workflow **`lint-text`**.
+**oxfmt** (`.oxfmtrc.json`, редактор), **cspell**, **shellcheck** (tracked `*.sh` у `lint-text`), **[dotenv-linter](https://dotenv-linter.github.io/)** (`.env*` у `lint-text`), **markdownlint-cli2**, **[v8r](https://chris48s.github.io/v8r/)** ([Schema Store](https://www.schemastore.org/)), розширення **DavidAnson.vscode-markdownlint** / **timonwong.shellcheck**, workflow **`lint-text`**.
 
 ```json title=".vscode/extensions.json"
 {
@@ -115,6 +115,8 @@ version: '1.26'
 
 **shellcheck:** інструмент лише в **`PATH`** (як у **ga.mdc** для `lint-ga`), **не** додавай до `dependencies` / `devDependencies`. Якщо `shellcheck` відсутній — встанови локально (**macOS:** `brew install shellcheck`; **Debian/Ubuntu:** `sudo apt-get install -y shellcheck`; **Arch:** `sudo pacman -S shellcheck`). Канонічний **`lint-text`** делегує до CLI **`n-cursor lint-text`** (бінарка з `node_modules/.bin/` пакету `@nitra/cursor`): після **`cspell .`** виконується **`runShellcheckText()`** з пакета — циклічно **`shellcheck -f diff`** і **`patch -p1`** для авто-виправлень, потім повний прогін **`shellcheck`** по всіх tracked `*.sh` (у git) або по `**/*.sh` без `node_modules`. Потрібен також **`patch`** у `PATH` (на macOS зазвичай уже є).
 
+**dotenv-linter:** після shellcheck CLI запускає **`runDotenvLinter()`** з пакета — рекурсивно по `.env*`-файлах проєкту через **`dotenv-linter fix -r --no-backup --quiet . --exclude node_modules --exclude .envrc`**, далі такий самий **`check`** для фінальної перевірки. Інструмент має бути в **`PATH`** і **не** додається в `dependencies` / `devDependencies`. Якщо `dotenv-linter` відсутній — встанови локально (**macOS:** `brew install dotenv-linter`; **Linux:** `curl -sSfL https://git.io/JLbXn | sh -s -- -b /usr/local/bin`; через **cargo:** `cargo install dotenv-linter`).
+
 У v8r **немає** прапорця тихого режиму; CLI-обгортка **`n-cursor lint-text`** на четвертому кроці викликає **`runV8rWithGlobs()`** з пакета (реалізація — `npm/rules/text/js/run-v8r.mjs`): під капотом послідовні **`bunx v8r`** для кожного типу (**json**, **json5**, **yml**, **yaml**, **toml**), бо один процес v8r з кількома глобами падає з **98**, якщо хоч один glob порожній, і тоді інші розширення не перевіряються. Вивід при кодах **0** і **98** не показується. Каталог схем **`schemas/v8r-catalog.json`** пакета `@nitra/cursor` обгортка підставляє в v8r сама.
 
 ```json title="package.json"

package/skills/abie-clean/SKILL.md

@@ -9,12 +9,16 @@ version: '1.1'
 
 Скіл прибирає з проєкту все, що належить **ru-середовищу**. Залишаються тільки `dev` (як база) та `ua` як активне продакшн-середовище. Працюй послідовно по секціях нижче — після кожної секції перевіряй, що проєкт лишається консистентним (`kustomization.yaml` посилається лише на наявні файли, GitHub Actions-вирази синтаксично коректні).
 
+## 0. Що НЕ чіпати
+
+**`node_modules/`** (і будь-які `**/node_modules/`) — повністю виключаються з аналізу й модифікацій. Це згенеровані залежності: збіги на `ru`, `values-ru.*`, `cr.yandex` тощо там нерелевантні і відновляться при наступному `install`. Усі `find` / `git grep` / автозаміни мають пропускати ці шляхи. Аналогічно не чіпай `.git/`, `dist/`, `build/`, `.next/`, `.nuxt/`, `.output/`, `coverage/`.
+
 ## 1. Директорії з назвою `ru`
 
-Видали всі директорії з назвою `ru` у проєкті:
+Видали всі директорії з назвою `ru` у проєкті (крім тих, що всередині `node_modules`):
 
 ```bash
-find . -type d -name "ru" -exec rm -rf {} +
+find . -type d \( -name node_modules -o -name .git \) -prune -o -type d -name "ru" -print -exec rm -rf {} +
 ```
 
 Це чистить як `country/ru/`, так і `k8s/<...>/ru/` (overlay у kustomize). Після видалення overlay `ru/` обов’язково прибери відповідний запис у `resources:` у батьківському `kustomization.yaml`, якщо він там лишився.
@@ -27,7 +31,8 @@ find . -type d -name "ru" -exec rm -rf {} +
 - будь-які файли, що закінчуються на `-ru` або `-ru.<ext>`, наприклад `site/.env.prod-ru`, `*.env.prod-ru`, `*.prod-ru.conf`
 
 ```bash
-find . -type f \( -name "values-ru.*" -o -name "*-ru" -o -name "*.prod-ru" -o -name "*.prod-ru.*" \) -delete
+find . -type d \( -name node_modules -o -name .git \) -prune -o \
+  -type f \( -name "values-ru.*" -o -name "*-ru" -o -name "*.prod-ru" -o -name "*.prod-ru.*" \) -print -delete
 ```
 
 ## 3. `.github/workflows/*.yml`
@@ -194,5 +199,5 @@ const tr = {
 ## 6. Після очистки
 
 - Переконайся, що `kustomization.yaml` у кожній директорії `k8s/` не посилається на видалені overlay або файли.
-- Пройдись `git grep` по репозиторію на залишки: `git grep -n -i -e '\bru\b' -e cr\.yandex -e country/ru -e prod-ru -e values-ru -e "'ya'"` — переглянь усі знахідки вручну, бо `ru` як слово може траплятися в легітимних контекстах (наприклад, `truncate`, `Aurum`, `cruft`). Видаляй лише ті входження, що належать ru-середовищу.
+- Пройдись `git grep` по репозиторію на залишки: `git grep -n -i -e '\bru\b' -e cr\.yandex -e country/ru -e prod-ru -e values-ru -e "'ya'"` — переглянь усі знахідки вручну, бо `ru` як слово може траплятися в легітимних контекстах (наприклад, `truncate`, `Aurum`, `cruft`). Видаляй лише ті входження, що належать ru-середовищу. `git grep` за замовчуванням пропускає невідстежувані шляхи, тож `node_modules/` у вихід не потрапить, поки воно у `.gitignore`.
 - Перевір CI локально: `npx @nitra/cursor check abie` (якщо правило **abie** ввімкнене у проєкті).