@nitra/cursor 1.13.15 → 1.13.26

package/rules/js-lint/policy/vscode_extensions/vscode_extensions.rego

@@ -1,25 +1,12 @@
 # Перевірка `.vscode/extensions.json` для js-lint (js-lint.mdc).
 #
-# Canonical: у `recommendations` мають бути ESLint, GitHub Actions і Oxlint.
-# Канон задає мінімум — додаткові рекомендації від інших правил дозволені.
-#
-# Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
-# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
-# (.cursor/rules/conftest.mdc). Лінт — `bun run lint-rego` (regal).
+# Канон надходить через --data: { "template": { "snippet": ... } }
 package js_lint.vscode_extensions
 
 import rego.v1
 
-required_extensions := {
-	"dbaeumer.vscode-eslint",
-	"github.vscode-github-actions",
-	"oxc.oxc-vscode",
-}
-
-recommendations_set := {r | some r in object.get(input, "recommendations", [])}
-
 deny contains msg if {
-	some required in required_extensions
-	not required in recommendations_set
-	msg := sprintf(".vscode/extensions.json: recommendations має містити %q (js-lint.mdc)", [required])
+	some rec in data.template.snippet.recommendations
+	not rec in {r | some r in object.get(input, "recommendations", [])}
+	msg := sprintf(".vscode/extensions.json: recommendations має містити %q (js-lint.mdc)", [rec])
 }

package/rules/js-run/policy/configmap/configmap.rego

@@ -1,45 +1,21 @@
-# Порт перевірки `k8s/base/configmap.yaml` з `npm/scripts/check-js-run.mjs`
-# (js-run.mdc) — `OTEL_RESOURCE_ATTRIBUTES` має містити `service.name=` і
-# `service.namespace=`.
+# Перевірка ConfigMap (js-run.mdc).
 #
-# Запуск (локально):
-#   conftest test path/to/k8s/base/configmap.yaml -p npm/policy/js_run \
-#     --namespace js_run.configmap
-#
-# Відповідність імені ConfigMap імені Deployment (cross-file) — у JS і `check-k8s.mjs`.
-#
-# Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
-# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
-# (.cursor/rules/conftest.mdc). Лінт — `bun run lint-rego` (regal).
+# Канон надходить через --data: { "template": { "contains": ... } }
+# Структура --data сформована з template/configmap.yaml.contains.yml.
+# Контекст: kind=ConfigMap; OTEL_RESOURCE_ATTRIBUTES має містити кожен substring
+# зі snippet (`service.name=`, `service.namespace=`).
 package js_run.configmap
 
 import rego.v1
 
-# Шаблони повідомлень — через `concat` для regal style/line-length.
-otel_service_name_template := concat(" ", [
-	"ConfigMap %q: OTEL_RESOURCE_ATTRIBUTES має містити",
-	"`service.name=` (js-run.mdc)",
-])
-
-otel_service_namespace_template := concat(" ", [
-	"ConfigMap %q: OTEL_RESOURCE_ATTRIBUTES має містити",
-	"`service.namespace=` (js-run.mdc)",
-])
-
-deny contains msg if {
-	input.kind == "ConfigMap"
-	otel := object.get(object.get(input, "data", {}), "OTEL_RESOURCE_ATTRIBUTES", "")
-	otel != ""
-	not contains(otel, "service.name=")
-	msg := sprintf(otel_service_name_template, [cm_name])
-}
-
 deny contains msg if {
 	input.kind == "ConfigMap"
-	otel := object.get(object.get(input, "data", {}), "OTEL_RESOURCE_ATTRIBUTES", "")
-	otel != ""
-	not contains(otel, "service.namespace=")
-	msg := sprintf(otel_service_namespace_template, [cm_name])
+	some field, needles in data.template.contains.data
+	actual := object.get(object.get(input, "data", {}), field, "")
+	actual != ""
+	some needle in needles
+	not contains(actual, needle)
+	msg := sprintf("ConfigMap %q: %s має містити %q (js-run.mdc)", [cm_name, field, needle])
 }
 
 cm_name := object.get(object.get(input, "metadata", {}), "name", "?")

package/rules/js-run/policy/configmap/template/configmap.yaml.contains.yml

@@ -0,0 +1,4 @@
+data:
+  OTEL_RESOURCE_ATTRIBUTES:
+    - 'service.name='
+    - 'service.namespace='

package/rules/js-run/policy/jsconfig/jsconfig.rego

@@ -1,66 +1,59 @@
-# Порт перевірки `jsconfig.json` з `npm/scripts/check-js-run.mjs` (js-run.mdc).
+# Перевірка `jsconfig.json` (js-run.mdc).
 #
-# Запуск (локально, у backend-пакеті з каталогом `src/`):
-#   conftest test path/to/jsconfig.json -p npm/policy/js_run \
-#     --namespace js_run.jsconfig
-#
-# Перевіряє: `compilerOptions.{lib, module, moduleResolution, target, checkJs}` і
-# `include` мають канонічні значення (js-run.mdc).
-#
-# FS-перевірка (наявність каталогу `src/` у пакеті, наявність самого `jsconfig.json`)
-# і вибір файлу-кандидата — у JS.
-#
-# Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
-# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
-# (.cursor/rules/conftest.mdc). Лінт — `bun run lint-rego` (regal).
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/jsconfig.json.snippet.yml.
+# Walker: для кожного leaf у template's snippet порівнюємо input[path].
+# Для масивів — equality (не subset-of, бо в jsconfig потрібен точний набір).
 package js_run.jsconfig
 
 import rego.v1
 
-# ── deny: compilerOptions ──────────────────────────────────────────────────
-
+# Generic 2-level walker: section → key → expected (для compilerOptions).
 deny contains msg if {
-	co := object.get(input, "compilerOptions", {})
-	not is_array(object.get(co, "lib", null))
-	msg := "jsconfig.json: compilerOptions.lib має бути [\"esnext\"] (js-run.mdc)"
+	some section, expected_inner in data.template.snippet
+	is_object(expected_inner)
+	inner := object.get(input, section, {})
+	is_object(inner)
+	some leaf_key, expected_value in expected_inner
+	actual := object.get(inner, leaf_key, null)
+	not values_match(actual, expected_value)
+	msg := sprintf("jsconfig.json: %s.%s має бути %v (js-run.mdc)", [section, leaf_key, expected_value])
 }
 
+# Section відсутня або не обʼєкт.
 deny contains msg if {
-	co := object.get(input, "compilerOptions", {})
-	is_array(co.lib)
-	{l | some l in co.lib} != {"esnext"}
-	msg := "jsconfig.json: compilerOptions.lib має бути [\"esnext\"] (js-run.mdc)"
+	some section, expected_inner in data.template.snippet
+	is_object(expected_inner)
+	raw := object.get(input, section, null)
+	not is_object(raw)
+	msg := sprintf("jsconfig.json: відсутній обʼєкт %s (js-run.mdc)", [section])
 }
 
+# Top-level масив (наприклад include) — порівнюємо як множину.
 deny contains msg if {
-	object.get(object.get(input, "compilerOptions", {}), "module", null) != "NodeNext"
-	msg := "jsconfig.json: compilerOptions.module має бути \"NodeNext\" (js-run.mdc)"
+	some field, expected_array in data.template.snippet
+	is_array(expected_array)
+	actual := object.get(input, field, null)
+	not is_array(actual)
+	msg := sprintf("jsconfig.json: %s має бути масив %v (js-run.mdc)", [field, expected_array])
 }
 
 deny contains msg if {
-	object.get(object.get(input, "compilerOptions", {}), "moduleResolution", null) != "NodeNext"
-	msg := "jsconfig.json: compilerOptions.moduleResolution має бути \"NodeNext\" (js-run.mdc)"
+	some field, expected_array in data.template.snippet
+	is_array(expected_array)
+	is_array(object.get(input, field, null))
+	{x | some x in input[field]} != {x | some x in expected_array}
+	msg := sprintf("jsconfig.json: %s має бути %v (js-run.mdc)", [field, expected_array])
 }
 
-deny contains msg if {
-	object.get(object.get(input, "compilerOptions", {}), "target", null) != "esnext"
-	msg := "jsconfig.json: compilerOptions.target має бути \"esnext\" (js-run.mdc)"
+# Helper: leaf-level value match, з підтримкою масивів як множин.
+values_match(actual, expected) if {
+	not is_array(expected)
+	actual == expected
 }
 
-deny contains msg if {
-	object.get(object.get(input, "compilerOptions", {}), "checkJs", null) != false
-	msg := "jsconfig.json: compilerOptions.checkJs має бути false (js-run.mdc)"
-}
-
-# ── deny: include ──────────────────────────────────────────────────────────
-
-deny contains msg if {
-	not is_array(object.get(input, "include", null))
-	msg := "jsconfig.json: include має бути [\"src/**/*\"] (js-run.mdc)"
-}
-
-deny contains msg if {
-	is_array(input.include)
-	{p | some p in input.include} != {"src/**/*"}
-	msg := "jsconfig.json: include має бути [\"src/**/*\"] (js-run.mdc)"
+values_match(actual, expected) if {
+	is_array(expected)
+	is_array(actual)
+	{x | some x in actual} == {x | some x in expected}
 }

package/rules/js-run/policy/jsconfig/template/jsconfig.json.snippet.json

@@ -0,0 +1,10 @@
+{
+  "compilerOptions": {
+    "lib": ["esnext"],
+    "module": "NodeNext",
+    "moduleResolution": "NodeNext",
+    "target": "esnext",
+    "checkJs": false
+  },
+  "include": ["src/**/*"]
+}

package/rules/js-run/policy/package_json/package_json.rego

@@ -1,31 +1,20 @@
-# Порт перевірки залежностей `package.json` з `npm/scripts/check-js-run.mjs`
-# (js-run.mdc) — заборона `bunyan` / `@nitra/bunyan`.
+# Перевірка `package.json` (js-run.mdc).
 #
-# Запуск (локально, для будь-якого `package.json` у дереві):
-#   conftest test path/to/package.json -p npm/policy/js_run \
-#     --namespace js_run.package_json
-#
-# AST-скан коду на імпорти `bunyan` / `process.env` без `checkEnv`,
-# `new Promise(resolve => setTimeout(resolve, ...))`, обмеження `#conn/*`-аліасів —
-# у JS (потребує парсингу `.js` / `.ts` через oxc-parser).
-#
-# Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
-# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
-# (.cursor/rules/conftest.mdc). Лінт — `bun run lint-rego` (regal).
+# Канон надходить через --data: { "template": { "deny": ... } }
+# Структура --data сформована з template/package.json.deny.json.
+# AST-скан коду (`bunyan`/`process.env`/`#conn/*`) — у JS.
 package js_run.package_json
 
 import rego.v1
 
-forbidden_packages := {"bunyan", "@nitra/bunyan"}
-
 deny contains msg if {
-	some pkg_name in forbidden_packages
-	pkg_name in object.keys(object.get(input, "dependencies", {}))
-	msg := sprintf("dependencies містить %q — використовуй стандартні логери (js-run.mdc)", [pkg_name])
+	some pkg, reason in data.template.deny.dependencies
+	pkg in object.keys(object.get(input, "dependencies", {}))
+	msg := sprintf("dependencies.%s — %s", [pkg, reason])
 }
 
 deny contains msg if {
-	some pkg_name in forbidden_packages
-	pkg_name in object.keys(object.get(input, "devDependencies", {}))
-	msg := sprintf("devDependencies містить %q — використовуй стандартні логери (js-run.mdc)", [pkg_name])
+	some pkg, reason in data.template.deny.devDependencies
+	pkg in object.keys(object.get(input, "devDependencies", {}))
+	msg := sprintf("devDependencies.%s — %s", [pkg, reason])
 }

package/rules/js-run/policy/package_json/template/package.json.deny.json

@@ -0,0 +1,10 @@
+{
+  "dependencies": {
+    "bunyan": "використовуй стандартні логери (js-run.mdc)",
+    "@nitra/bunyan": "використовуй стандартні логери (js-run.mdc)"
+  },
+  "devDependencies": {
+    "bunyan": "використовуй стандартні логери (js-run.mdc)",
+    "@nitra/bunyan": "використовуй стандартні логери (js-run.mdc)"
+  }
+}

package/rules/php/php.mdc

@@ -65,13 +65,7 @@ composer audit
 
 `composer`-інструмененти не мають єдиного CLI, який сам обходить репозиторій, тому `lint-php` зручно делегувати у JS-скрипт-обгортку (як `lint-docker`, `lint-k8s`).
 
-```json title="package.json"
-{
-  "scripts": {
-    "lint-php": "bun ./npm/scripts/run-php.mjs"
-  }
-}
-```
+- Канон `package.json#scripts.lint-php` (substring requirement): [package.json.contains.json](./policy/package_json/template/package.json.contains.json)
 
 Скрипт `run-php.mjs`:
 
@@ -82,52 +76,4 @@ composer audit
 
 ## CI: `.github/workflows/lint-php.yml`
 
-```yaml title=".github/workflows/lint-php.yml"
-name: Lint PHP
-
-on:
-  push:
-    branches:
-      - dev
-      - main
-    paths:
-      - '**/*.php'
-      - 'composer.json'
-      - 'composer.lock'
-      - 'phpstan.neon'
-      - 'phpstan.neon.dist'
-      - 'psalm.xml'
-      - '.github/workflows/lint-php.yml'
-
-  pull_request:
-    branches:
-      - dev
-      - main
-
-concurrency:
-  group: ${{ github.ref }}-${{ github.workflow }}
-  cancel-in-progress: true
-
-jobs:
-  php:
-    runs-on: ubuntu-latest
-    permissions:
-      contents: read
-    steps:
-      - uses: actions/checkout@v6
-        with:
-          persist-credentials: false
-
-      - uses: ./.github/actions/setup-bun-deps
-
-      - name: Install PHP
-        uses: shivammathur/setup-php@v2
-        with:
-          php-version: '8.5'
-
-      - name: Install Composer dependencies
-        run: composer install --no-interaction --no-progress --prefer-dist
-
-      - name: Lint PHP
-        run: bun run lint-php
-```
+- Канон: [lint-php.yml.snippet.yml](./policy/lint_php_yml/template/lint-php.yml.snippet.yml)

package/rules/php/policy/lint_php_yml/lint_php_yml.rego

@@ -1,19 +1,20 @@
-# Порт перевірки `lint-php.yml` з `npm/scripts/check-php.mjs` (php.mdc).
+# Перевірка `lint-php.yml` (php.mdc).
 #
-# Запуск (локально):
-#   conftest test .github/workflows/lint-php.yml -p npm/policy/php \
-#     --namespace php.lint_php_yml
-#
-# Перевіряє: хоча б один крок `run` містить `bun run lint-php`. Універсальні
-# workflow-перевірки — у `ga.workflow_common`.
-#
-# Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
-# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
-# (.cursor/rules/conftest.mdc). Лінт — `bun run lint-rego` (regal).
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/lint-php.yml.snippet.yml.
+# Маркер `run:` (bun run lint-php) збирається з template's php-job steps.
+# Універсальні workflow-перевірки — у `ga.workflow_common`.
 package php.lint_php_yml
 
 import rego.v1
 
+# Очікуваний `run:` маркер — конкатенація всіх run-блоків з template.
+expected_run_blob := concat("\n", [r |
+	some step in data.template.snippet.jobs.php.steps
+	r := object.get(step, "run", "")
+	r != ""
+])
+
 all_run_text := concat("\n", [run_text |
 	some job in object.get(input, "jobs", {})
 	some step in object.get(job, "steps", [])
@@ -21,8 +22,9 @@ all_run_text := concat("\n", [run_text |
 ])
 
 deny contains msg if {
-	not contains(all_run_text, "bun run lint-php")
-	msg := "lint-php.yml: жоден крок run не містить `bun run lint-php` (php.mdc)"
+	expected_run_blob != ""
+	not contains(all_run_text, expected_run_blob)
+	msg := sprintf("lint-php.yml: жоден крок run не містить %q (php.mdc)", [expected_run_blob])
 }
 
 step_run_to_text(step) := step.run if is_string(step.run)

package/rules/php/policy/lint_php_yml/template/lint-php.yml.snippet.yml

@@ -0,0 +1,47 @@
+name: Lint PHP
+
+on:
+  push:
+    branches:
+      - dev
+      - main
+    paths:
+      - '**/*.php'
+      - 'composer.json'
+      - 'composer.lock'
+      - 'phpstan.neon'
+      - 'phpstan.neon.dist'
+      - 'psalm.xml'
+      - '.github/workflows/lint-php.yml'
+
+  pull_request:
+    branches:
+      - dev
+      - main
+
+concurrency:
+  group: ${{ github.ref }}-${{ github.workflow }}
+  cancel-in-progress: true
+
+jobs:
+  php:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+    steps:
+      - uses: actions/checkout@v6
+        with:
+          persist-credentials: false
+
+      - uses: ./.github/actions/setup-bun-deps
+
+      - name: Install PHP
+        uses: shivammathur/setup-php@v2
+        with:
+          php-version: '8.5'
+
+      - name: Install Composer dependencies
+        run: composer install --no-interaction --no-progress --prefer-dist
+
+      - name: Lint PHP
+        run: bun run lint-php

package/rules/php/policy/package_json/package_json.rego

@@ -1,19 +1,16 @@
-# Порт перевірки `package.json` з `npm/scripts/check-php.mjs` (php.mdc).
+# Перевірка `package.json` (php.mdc).
 #
-# Запуск (локально):
-#   conftest test package.json -p npm/policy/php --namespace php.package_json
-#
-# Перевіряє: наявність скрипта `lint-php`. FS-перевірки (`composer.json`, наявність
-# `package.json` як такого) — у JS.
-#
-# Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
-# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
-# (.cursor/rules/conftest.mdc). Лінт — `bun run lint-rego` (regal).
+# Канон надходить через --data: { "template": { "contains": ... } }
+# Структура --data сформована з template/package.json.contains.json.
+# FS-перевірки (`composer.json`, наявність `package.json` як такого) — у JS.
 package php.package_json
 
 import rego.v1
 
 deny contains msg if {
-	not object.get(object.get(input, "scripts", {}), "lint-php", false)
-	msg := "package.json: додай скрипт \"lint-php\" (php.mdc)"
+	some script_name, needles in data.template.contains.scripts
+	actual := object.get(object.get(input, "scripts", {}), script_name, "")
+	some needle in needles
+	not contains(actual, needle)
+	msg := sprintf("package.json: scripts.%s має містити %q (php.mdc)", [script_name, needle])
 }

package/rules/php/policy/package_json/template/package.json.contains.json

@@ -0,0 +1,5 @@
+{
+  "scripts": {
+    "lint-php": ["bun"]
+  }
+}

package/rules/security/fix/trufflehog/check.mjs

@@ -0,0 +1,45 @@
+/**
+ * FS-частина правила `security`.
+ *
+ * Перевіряє:
+ *  - наявність `package.json` (структуру валідує policy security.package_json);
+ *  - наявність `.trufflehog-exclude` у корені та subset канонічних patterns
+ *    (text-subset, бо `.trufflehog-exclude` — plain text, не структурований).
+ */
+import { existsSync } from 'node:fs'
+import { readFile } from 'node:fs/promises'
+import { dirname, join } from 'node:path'
+import { fileURLToPath } from 'node:url'
+
+import { createCheckReporter } from '../../../../scripts/utils/check-reporter.mjs'
+import { checkTextSubset } from '../../../../scripts/utils/template.mjs'
+
+const HERE = dirname(fileURLToPath(import.meta.url))
+const SNIPPET_PATH = join(HERE, 'template', '.trufflehog-exclude.snippet.txt')
+
+export async function check() {
+  const reporter = createCheckReporter()
+  const { pass, fail } = reporter
+
+  if (!existsSync('package.json')) {
+    fail('package.json не знайдено в корені — додай (security.mdc)')
+    return reporter.getExitCode()
+  }
+  pass('package.json є (структуру перевіряє Rego)')
+
+  if (!existsSync('.trufflehog-exclude')) {
+    fail('.trufflehog-exclude не знайдено в корені — додай за каноном (security.mdc)')
+    return reporter.getExitCode()
+  }
+
+  const actual = await readFile('.trufflehog-exclude', 'utf8')
+  const template = await readFile(SNIPPET_PATH, 'utf8')
+  const errors = checkTextSubset(actual, template, {
+    targetPath: '.trufflehog-exclude',
+    source: 'security.mdc'
+  })
+  for (const msg of errors) fail(msg)
+  if (errors.length === 0) pass('.trufflehog-exclude містить канонічні patterns')
+
+  return reporter.getExitCode()
+}

package/rules/security/fix/trufflehog/template/.trufflehog-exclude.snippet.txt

@@ -0,0 +1,6 @@
+(^|/)node_modules(/|$)
+(^|/)\.git(/|$)
+(^|/)dist(/|$)
+(^|/)build(/|$)
+.*\.lock$
+.*fixtures?/.*

package/rules/security/policy/lint_security_yml/lint_security_yml.rego

@@ -0,0 +1,33 @@
+# Перевірка `.github/workflows/lint-security.yml` (security.mdc).
+#
+# Канон надходить через --data: { "template": { "snippet": ... } }, побудоване
+# з template/lint-security.yml.snippet.yml. З нього збирається перелік
+# `uses:` action-refs security-job (виключаючи універсальні `actions/*`, які
+# валідує `ga.workflow_common`).
+#
+# Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
+package security.lint_security_yml
+
+import rego.v1
+
+# Очікувані action-uses із template (не-`actions/*`).
+expected_uses_blob := concat("\n", [u |
+	some step in data.template.snippet.jobs.security.steps
+	u := object.get(step, "uses", "")
+	u != ""
+	not startswith(u, "actions/")
+])
+
+# Усі `uses:` із input workflow.
+all_uses_text := concat("\n", [u |
+	some job in object.get(input, "jobs", {})
+	some step in object.get(job, "steps", [])
+	u := object.get(step, "uses", "")
+	u != ""
+])
+
+deny contains msg if {
+	expected_uses_blob != ""
+	not contains(all_uses_text, expected_uses_blob)
+	msg := sprintf("lint-security.yml: відсутній крок з uses %q (security.mdc)", [expected_uses_blob])
+}

package/rules/security/policy/lint_security_yml/target.json

@@ -0,0 +1,8 @@
+{
+  "$schema": "https://unpkg.com/@nitra/cursor/schemas/target.json",
+  "files": {
+    "single": ".github/workflows/lint-security.yml",
+    "required": true
+  },
+  "missingMessage": ".github/workflows/lint-security.yml не знайдено — створи за каноном security.mdc"
+}

package/rules/security/policy/lint_security_yml/template/lint-security.yml.snippet.yml

@@ -0,0 +1,31 @@
+name: Lint Security
+
+on:
+  push:
+    branches:
+      - dev
+      - main
+
+  pull_request:
+    branches:
+      - dev
+      - main
+
+concurrency:
+  group: ${{ github.ref }}-${{ github.workflow }}
+  cancel-in-progress: true
+
+jobs:
+  security:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+    steps:
+      - uses: actions/checkout@v6
+        with:
+          persist-credentials: false
+          fetch-depth: 0
+
+      - uses: trufflesecurity/trufflehog@main
+        with:
+          extra_args: --results=verified,unknown

package/rules/security/policy/package_json/template/package.json.deny.json

@@ -1,4 +1,4 @@
 {
-  "dependencies": { "gitleaks": "глобальний CLI — не додавай у dependencies" },
-  "devDependencies": { "gitleaks": "глобальний CLI — не додавай у devDependencies" }
+  "dependencies": { "trufflehog": "глобальний CLI — не додавай у dependencies" },
+  "devDependencies": { "trufflehog": "глобальний CLI — не додавай у devDependencies" }
 }

package/rules/security/policy/package_json/template/package.json.snippet.json

@@ -1 +1 @@
-{ "scripts": { "lint-security": "gitleaks detect --no-banner" } }
+{ "scripts": { "lint-security": "trufflehog filesystem . --no-update --exclude-paths .trufflehog-exclude --results=verified,unknown --fail" } }