@nitra/cursor 1.13.26 → 1.13.31

package/CHANGELOG.md

@@ -4,6 +4,41 @@
 
 Формат — [Keep a Changelog](https://keepachangelog.com/uk/1.1.0/), нумерація — [SemVer](https://semver.org/lang/uk/).
 
+## [1.13.31] - 2026-05-18
+
+### Changed
+
+- `changelog` rule (`n-changelog.mdc` `2.3` → `2.4`): підтримка Python — `pyproject.toml` (`[project]` / Poetry) поряд із `package.json`; discovery воркспейсів через `getMonorepoProjectRootDirs`; PyPI-порівняння для registry-published Python-пакетів. `package-manifest.mjs` — уніфікований маніфест npm/python.
+
+## [1.13.30] - 2026-05-18
+
+### Changed
+
+- `changelog` rule (`n-changelog.mdc` `2.2` → `2.3`): `alwaysApply: true` без `globs`; інверсія — не вимагати bump для `docs/`/`doc/` і шляхів з `.gitignore`. `check changelog`: інтеграційна база `dev` **або** `main` (перша наявна); на `dev`/`main` local-only пропускається; релевантні зміни фільтруються в git. Тести.
+
+## [1.13.29] - 2026-05-18
+
+### Changed
+
+- `changelog` rule (`n-changelog.mdc` `2.1` → `2.2`): розширені `globs` (типові шляхи пакета + `*.rego` / `*.mdc`) — правило потрапляє в контекст агента при правках коду, не лише `package.json` / `CHANGELOG.md`; секція «Чеклист агента» для будь-якого репозиторію з правилом.
+- `changelog/fix/consistency/check.mjs`: npm-published режим — якщо `version` збігається з реєстром, але в git є зміни workspace без bump (feature vs `dev` або незакомічене на `dev`) → fail. Регресійні тести.
+
+## [1.13.28] - 2026-05-18
+
+### Fixed
+
+- `scripts/utils/template.mjs` (`stripJsonComments`): враховує контекст рядкових літералів. Раніше regex `\/\*[\s\S]*?\*\/` без розрізнення string-літералів агресивно вирізав блоки між `/*` і `*/`, які зустрічаються в glob-патернах JSON-значень (напр. `**/node_modules/**`, `**/k8s/**/*.yaml`), і канонічний `.cspell.json.snippet.json` чи `.oxfmtrc.json.snippet.json` після стрипу стягувався в один склеєний рядок замість 7-елементного масиву. Новий стриппер пропускає вміст `"..."` (з підтримкою backslash-escape) без змін і вирізає лише реальні JSONC-коментарі.
+
+### Changed
+
+- `hasura` rule (`hasura.svc_hl`): іменування Service узгоджено з `k8s.svc_hl_yaml` — headless (`spec.clusterIP: None`) має суфікс `-h-hl` (напр. `db-h` → `db-h-hl`), clusterIP у `svc.yaml` — `-h`. Target розширено на `hasura/k8s/base/svc.yaml` і `svc-hl.yaml`; додано `svc_hl_test.rego`. `hasura.mdc` і `fix/internal_urls` оновлено під headless DNS (`contract-h-hl`). Bump `hasura.mdc` `1.1` → `1.2`.
+
+## [1.13.27] - 2026-05-18
+
+### Fixed
+
+- `text`, `js-lint`, `js-run` rules: додано markdown-посилання на template-файли у канонічні `<id>.mdc` — `findMissingMdcRefs` (викликається з `run-rule.mjs`) раніше падав, бо канонічні `.mdc` не містили `[name](./policy/<concern>/template/<file>)` для власних шаблонів. Bump rule versions: `text.mdc` `1.27` → `1.28`, `js-lint.mdc` `1.22` → `1.23`, `js-run.mdc` `1.8` → `1.9`.
+
 ## [1.13.26] - 2026-05-17
 
 ### Changed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nitra/cursor",
-  "version": "1.13.26",
+  "version": "1.13.31",
   "description": "CLI для завантаження cursor-правил (префікс n-) у локальний репозиторій",
   "keywords": [
     "cli",

package/rules/changelog/changelog.mdc

@@ -1,36 +1,61 @@
 ---
-description: CHANGELOG.md в кожному workspace, з двома моделями бази порівняння
-version: '2.1'
-globs: "**/{CHANGELOG.md,package.json}"
-alwaysApply: false
+description: CHANGELOG.md в кожному workspace, з двома моделями бази порівняння (npm і Python)
+version: '2.4'
+alwaysApply: true
 ---
 
-Bun monorepo: у кожному workspace із кореневого `package.json.workspaces` (плюс кореневий пакет, плюс `npm/`) має бути власний **`CHANGELOG.md`**. Спільного на репозиторій змісту змін **не існує** — кожен пакет веде свій.
+У кожному **пакетному** workspace (каталог із `package.json` або `pyproject.toml`) має бути власний **`CHANGELOG.md`**. Спільного на репозиторій змісту змін **не існує** — кожен пакет веде свій.
+
+**Маніфест версії:**
+
+- **JS / Bun / npm** — `<ws>/package.json` (`version`, для монорепо ще `workspaces` у кореневому `package.json`).
+- **Python** — `<ws>/pyproject.toml`: `[project].name` / `[project].version` (PEP 621) або `[tool.poetry].name` / `[tool.poetry].version`.
+
+Каталоги лише з `pyproject.toml` (без `package.json`) теж враховуються; `node_modules/`, `.venv/`, `venv/` при пошуку ігноруються.
+
+## Чеклист агента (будь-який репозиторій з цим правилом)
+
+**Інверсія (за замовчуванням не вимагають bump/CHANGELOG):**
+
+- зміни **лише** під `docs/` або `doc/`;
+- файли під **`.gitignore`**;
+- правки **лише** `CHANGELOG.md` або поля `version` у маніфесті як сам релізний крок.
+
+**Вимагають bump + нову секцію CHANGELOG** — усі інші зміни в каталозі workspace (код, rego, правила, конфіги, тести тощо).
+
+Перед завершенням задачі:
+
+1. **`version`** у `<ws>/package.json` або `[project].version` у `<ws>/pyproject.toml` підвищено (build/patch +1 на PR), якщо зміни входять у реліз.
+2. **`CHANGELOG.md`** — **нова** секція `## [версія] - YYYY-MM-DD` зверху (не дописуй bullet-и в стару версію).
+3. **`npx @nitra/cursor check changelog`** — exit `0`.
+
+Перевірка програмна (`changelog/fix/consistency/check.mjs`).
 
 ## Дві моделі бази порівняння
 
-Правило за **`<ws>/package.json`** автоматично визначає режим перевірки:
+Режим визначається автоматично з маніфесту.
 
-### npm-published воркспейс
+### registry-published (npm / PyPI)
 
-Якщо в `<ws>/package.json` є непорожнє `name`, **не** `private: true` і оголошено масив `files` — workspace публікується в npm. База — **опублікована версія в реєстрі** (`npm view <name> version`):
+**npm:** непорожнє `name`, не `private: true`, масив `files`.
 
-1. Якщо локальна `version` дорівнює опублікованій — ще нічого не зрелізнуто, перевірка мовчить.
-2. Якщо локальна `version` відрізняється від опублікованої — потрібен запис у `<ws>/CHANGELOG.md` для локальної версії (формат `## [версія] - YYYY-MM-DD`) і `"CHANGELOG.md"` у `files`.
-3. Якщо реєстр недосяжний (офлайн / пакет ще не публікувався) — fail-safe pass із поясненням, щоб локальна розробка не блокувалася.
+**Python:** статичні `project.name` і `project.version` у `pyproject.toml` (або Poetry-секція).
 
-Git у цьому режимі не використовується — порівнюється поточний стан робочої копії з тим, що насправді в npm. Це покриває кейс «прямі коміти в `main` поза PR-flow» автоматично, бо неопубліковані зміни одразу видно.
+1. **Локальна `version` ≠ опублікованій** (npm / PyPI): запис у `<ws>/CHANGELOG.md`; для npm також `"CHANGELOG.md"` у `files`.
+2. **Версії збігаються**, але в git є **релевантні** зміни без bump → fail.
+3. **Реєстр недосяжний** — fail-safe pass.
+4. **Немає релевантних змін** — pass.
 
-### local-only воркспейс
+### local-only
 
-Якщо workspace приватний (`private: true`) або без `files` (apps, services, internal-only пакети) — база = **гілка `dev`**, точніше `git merge-base <dev> HEAD`:
+**npm:** `private: true` або без `files`. **Python:** без пари name+version для реєстру. База = **`dev` або `main`** (перша наявна), `git merge-base`:
 
-1. На самій гілці `dev` правило не активне.
-2. На feature-гілці merge-base = точка розгалуження від `dev` → видно лише унікальні коміти цієї гілки. Bump + запис у `CHANGELOG.md` потрібні **раз на весь PR — як сума по гілці**, без bump-шуму в проміжних комітах.
-3. На `main` після merge `dev → main` merge-base = поточний `dev` → diff порожній → правило мовчить.
-4. Direct-commit на `main` поза PR-flow ловиться як зміна, що потребує bump + запис у `CHANGELOG.md`.
+1. На **`dev`** local-only не активний (крім незакомічених registry-published).
+2. На feature-гілці — bump + CHANGELOG **раз на PR**.
+3. Після merge на інтеграційну гілку diff порожній → pass.
+4. Direct-commit на `main` ловиться так само.
 
-Якщо не git-репо, або `dev`/`origin/dev` не існує — local-only перевірка пропускається.
+Якщо немає git або немає `dev`/`main` — local-only пропускається.
 
 ## Формат CHANGELOG.md
 

package/rules/changelog/fix/consistency/check.mjs

@@ -1,25 +1,19 @@
 /**
- * Перевіряє, що в кожному workspace із незакомічаними/незрелізнутими змінами підвищена `version` у
- * `<ws>/package.json` і в `<ws>/CHANGELOG.md` присутній запис `## [version] - YYYY-MM-DD`
- * (формат Keep a Changelog).
+ * Перевіряє, що в кожному workspace із релізно-релевантними змінами підвищена `version`
+ * у маніфесті (`package.json` або `pyproject.toml`) і в `<ws>/CHANGELOG.md` є запис
+ * `## [version] - YYYY-MM-DD` (формат Keep a Changelog).
  *
- * Дві моделі визначення «бази для порівняння» — на рівні воркспейсу:
+ * Дві моделі бази — на рівні воркспейсу (див. n-changelog.mdc):
  *
- * 1) **npm-published mode** (`<ws>/package.json` має непорожнє `name`, не `private: true`,
- *    і має масив `files`): база = опублікована версія в npm-реєстрі (`npm view <name> version`).
- *    Git не задіяний. Якщо локальна версія відрізняється від опублікованої — потрібен запис
- *    у CHANGELOG для локальної версії й `"CHANGELOG.md"` у `files`. Якщо `npm view` недосяжний
- *    (немає мережі / пакет ще не публікувався) — fail-safe pass із поясненням, щоб локальна
- *    розробка офлайн не блокувалась.
+ * 1) **registry-published** (npm: `name` + `files`, не `private`; Python: `project.name` +
+ *    статична `project.version` у `pyproject.toml`): база = опублікована версія в npm / PyPI.
+ *    Якщо локальна версія відрізняється — потрібен CHANGELOG; для npm також `"CHANGELOG.md"`
+ *    у `files`. Якщо версії збігаються, але в git є релевантні зміни без bump — fail.
  *
- * 2) **local-only mode** (приватні / без `files` воркспейси): PR-scoped перевірка проти `dev`.
- *    База = `git merge-base <dev> HEAD` (точка розгалуження поточної гілки від `dev`), щоб:
- *    - на feature-гілці бачити лише унікальні коміти цієї гілки;
- *    - на `main` після merge `dev → main` diff був порожній (нічого не вимагати);
- *    - direct-commit на `main` поза PR-flow ловився як зміна, що потребує bump + CHANGELOG.
- *    Якщо не git-репо, поточна гілка = `dev`, або `dev`/`origin/dev` не існує — пропуск.
+ * 2) **local-only** (приватні npm, без `files`, Python без імені/версії для реєстру): PR-scoped
+ *    перевірка проти `dev` / `main` через `git merge-base`.
  *
- * Усі `git` і `npm` виклики — через `execFile`, без shell-інтерполяції.
+ * Усі `git` і зовнішні виклики — через `execFile` / `fetch`, без shell-інтерполяції.
  */
 import { execFile } from 'node:child_process'
 import { existsSync } from 'node:fs'
@@ -28,20 +22,34 @@ import { join } from 'node:path'
 import { promisify } from 'node:util'
 
 import { createCheckReporter } from '../../../../scripts/utils/check-reporter.mjs'
-import { getMonorepoPackageRootDirs } from '../../../../scripts/utils/workspaces.mjs'
+import {
+  getMonorepoProjectRootDirs,
+  manifestFilePath,
+  parsePyprojectFields,
+  readPackageManifest,
+} from '../../../../scripts/utils/package-manifest.mjs'
 
 const execFileAsync = promisify(execFile)
 
-/** Базова гілка PR — фіксована, без конфіга (див. n-changelog.mdc) */
-const BASE_BRANCH = 'dev'
+/** Кандидати інтеграційної гілки (перша наявна в репо; див. n-changelog.mdc) */
+const BASE_BRANCH_CANDIDATES = Object.freeze(['dev', 'main'])
 
-/** Таймаут на `npm view <name> version` (мс), щоб не блокуватись на офлайні */
-const NPM_VIEW_TIMEOUT_MS = 10_000
+/** Гілки, на яких local-only перевірку пропускаємо (крім незакомічених registry-published). */
+const INTEGRATION_BRANCHES = Object.freeze(['dev', 'main'])
+
+/** Префікси шляхів (posix), які не вважаються релізними змінами — інверсія glob (n-changelog.mdc). */
+const CHANGELOG_IGNORE_PATH_PREFIXES = Object.freeze(['docs/', 'doc/'])
+
+/** Точні шляхи каталогів документації (posix), без bump. */
+const CHANGELOG_IGNORE_PATH_EXACT = Object.freeze(['docs', 'doc'])
+
+/** Таймаут на `npm view` / PyPI (мс) */
+const REGISTRY_TIMEOUT_MS = 10_000
 
 /**
  * Тихо запускає `git` і повертає stdout або `null` при будь-якій помилці.
  * @param {string[]} args аргументи `git`
- * @returns {Promise<string | null>} stdout процесу або `null` при будь-якій помилці виконання
+ * @returns {Promise<string | null>}
  */
 async function gitOrNull(args) {
   try {
@@ -53,8 +61,7 @@ async function gitOrNull(args) {
 }
 
 /**
- * Чи робочий каталог — git-репозиторій.
- * @returns {Promise<boolean>} `true`, якщо `git rev-parse --is-inside-work-tree` повернув `true`
+ * @returns {Promise<boolean>}
  */
 async function isInsideGitRepo() {
   const out = await gitOrNull(['rev-parse', '--is-inside-work-tree'])
@@ -62,8 +69,7 @@ async function isInsideGitRepo() {
 }
 
 /**
- * Назва поточної гілки (або `HEAD` для detached state).
- * @returns {Promise<string | null>} назва гілки чи `'HEAD'`, або `null` (поза git / помилка)
+ * @returns {Promise<string | null>}
  */
 async function currentBranchName() {
   const out = await gitOrNull(['rev-parse', '--abbrev-ref', 'HEAD'])
@@ -71,25 +77,64 @@ async function currentBranchName() {
 }
 
 /**
- * Знаходить ref для базової гілки. Перевага локальному `dev`, далі `origin/dev`. Повертає `null`,
- * якщо жоден не існує.
- * @returns {Promise<string | null>} назва ref-а (`dev` чи `origin/dev`) або `null`, якщо жоден не знайдено
+ * @param {string | null} branch
+ * @returns {boolean}
+ */
+function isIntegrationBranch(branch) {
+  return branch !== null && INTEGRATION_BRANCHES.includes(branch)
+}
+
+/**
+ * @param {string} ref
+ * @returns {string}
+ */
+function baseRefLabel(ref) {
+  return ref.startsWith('origin/') ? ref.slice('origin/'.length) : ref
+}
+
+/**
+ * @param {string} relPath
+ * @returns {boolean}
+ */
+function isChangelogIgnoredPath(relPath) {
+  const p = relPath.replace(/\\/g, '/').replace(/^\.\//, '')
+  if (CHANGELOG_IGNORE_PATH_EXACT.includes(p)) {
+    return true
+  }
+  return CHANGELOG_IGNORE_PATH_PREFIXES.some(prefix => p.startsWith(prefix))
+}
+
+/**
+ * @param {string} relPath
+ * @returns {Promise<boolean>}
+ */
+async function isPathGitIgnored(relPath) {
+  try {
+    await execFileAsync('git', ['check-ignore', '-q', '--', relPath])
+    return true
+  } catch {
+    return false
+  }
+}
+
+/**
+ * @returns {Promise<string | null>}
  */
 async function resolveBaseRef() {
-  for (const ref of [BASE_BRANCH, `origin/${BASE_BRANCH}`]) {
-    const out = await gitOrNull(['rev-parse', '--verify', '--quiet', ref])
-    if (typeof out === 'string' && out.trim().length > 0) {
-      return ref
+  for (const name of BASE_BRANCH_CANDIDATES) {
+    for (const ref of [name, `origin/${name}`]) {
+      const out = await gitOrNull(['rev-parse', '--verify', '--quiet', ref])
+      if (typeof out === 'string' && out.trim().length > 0) {
+        return ref
+      }
     }
   }
   return null
 }
 
 /**
- * Точка розгалуження поточної гілки від `baseRef`. На feature-гілці = коли вона відгалузилась;
- * на `main` після merge `dev → main` = поточний `dev`. Повертає `null`, якщо merge-base нема.
- * @param {string} baseRef SHA або ref-name бази (зазвичай `dev` / `origin/dev`)
- * @returns {Promise<string | null>} SHA точки розгалуження або `null`, якщо merge-base нема
+ * @param {string} baseRef
+ * @returns {Promise<string | null>}
  */
 async function resolveMergeBase(baseRef) {
   const out = await gitOrNull(['merge-base', baseRef, 'HEAD'])
@@ -99,14 +144,9 @@ async function resolveMergeBase(baseRef) {
 }
 
 /**
- * Будує pathspec для `git diff` / `ls-files` для воркспейсу.
- *
- * Для кореня `.` — це точка плюс magic-виключення кожного підворкспейсу через `:(exclude)<sub>/`,
- * щоб зміни всередині sub-workspace не вважалися змінами кореня.
- * Для звичайного воркспейсу — просто `<ws>/`.
- * @param {string} ws шлях воркспейсу (`'.'` для кореня, інакше — відносний шлях, як у `workspaces`)
- * @param {string[]} subWorkspaces усі під-воркспейси (зокрема для `'.'` потрібно виключити їх)
- * @returns {string[]} pathspec для git: масив, що передається після `--`
+ * @param {string} ws
+ * @param {string[]} subWorkspaces
+ * @returns {string[]}
  */
 function pathspecForWorkspace(ws, subWorkspaces) {
   if (ws !== '.') return [`${ws}/`]
@@ -114,50 +154,74 @@ function pathspecForWorkspace(ws, subWorkspaces) {
 }
 
 /**
- * Чи є зміни (committed або в робочому дереві) у каталозі `<ws>` відносно `baseRef`.
- *
- * `git diff --quiet <baseRef> -- <pathspec>` ловить committed-зміни на цій гілці й незбережені
- * правки tracked-файлів. Untracked-файли — `git ls-files --others --exclude-standard`.
- * @param {string} baseRef SHA або ref-name (зокрема merge-base)
- * @param {string} ws шлях воркспейсу (`'.'` для кореня)
- * @param {string[]} subWorkspaces усі під-воркспейси для коректного формування pathspec кореня
- * @returns {Promise<boolean>} `true`, якщо в межах воркспейсу є будь-які зміни (committed або untracked)
+ * @param {string} baseRef
+ * @param {string[]} pathspec
+ * @returns {Promise<string[]>}
  */
-async function workspaceHasChangesAgainstBase(baseRef, ws, subWorkspaces) {
+async function listChangedPathsAgainstBase(baseRef, pathspec) {
+  /** @type {string[]} */
+  const out = []
+  const diffArgs =
+    baseRef === 'HEAD'
+      ? ['diff', '--name-only', 'HEAD', '--', ...pathspec]
+      : ['diff', '--name-only', baseRef, '--', ...pathspec]
+  const diffOut = await gitOrNull(diffArgs)
+  if (typeof diffOut === 'string' && diffOut.trim().length > 0) {
+    out.push(...diffOut.trim().split('\n'))
+  }
+  const untrackedOut = await gitOrNull(['ls-files', '--others', '--exclude-standard', '--', ...pathspec])
+  if (typeof untrackedOut === 'string' && untrackedOut.trim().length > 0) {
+    out.push(...untrackedOut.trim().split('\n'))
+  }
+  return [...new Set(out)]
+}
+
+/**
+ * @param {string} baseRef
+ * @param {string} ws
+ * @param {string[]} subWorkspaces
+ * @returns {Promise<boolean>}
+ */
+async function workspaceHasRelevantChangesAgainstBase(baseRef, ws, subWorkspaces) {
   const pathspec = pathspecForWorkspace(ws, subWorkspaces)
-  try {
-    await execFileAsync('git', ['diff', '--quiet', baseRef, '--', ...pathspec])
-  } catch (error) {
-    const code = /** @type {{ code?: number }} */ (error).code
-    return code === 1
+  const paths = await listChangedPathsAgainstBase(baseRef, pathspec)
+  for (const p of paths) {
+    if (isChangelogIgnoredPath(p)) {
+      continue
+    }
+    if (await isPathGitIgnored(p)) {
+      continue
+    }
+    return true
   }
-  const untracked = await gitOrNull(['ls-files', '--others', '--exclude-standard', '--', ...pathspec])
-  return typeof untracked === 'string' && untracked.trim().length > 0
+  return false
 }
 
 /**
- * Версія з `<ws>/package.json` на `baseRef` або `null`.
- * @param {string} baseRef SHA або ref-name (зазвичай merge-base) для `git show`
- * @param {string} ws шлях воркспейсу (`'.'` для кореня)
- * @returns {Promise<string | null>} значення поля `version` або `null`, якщо файла нема / JSON некоректний
+ * Версія з маніфесту на `baseRef`.
+ * @param {string} baseRef
+ * @param {import('../../../../scripts/utils/package-manifest.mjs').PackageManifest} manifest
+ * @returns {Promise<string | null>}
  */
-async function readBaseVersion(baseRef, ws) {
-  const wsPath = ws === '.' ? 'package.json' : `${ws}/package.json`
+async function readBaseVersion(baseRef, manifest) {
+  const wsPath = manifest.ws === '.' ? manifest.manifestRel : `${manifest.ws}/${manifest.manifestRel}`
   const out = await gitOrNull(['show', `${baseRef}:${wsPath}`])
   if (out === null) return null
-  try {
-    const parsed = JSON.parse(out)
-    return typeof parsed?.version === 'string' ? parsed.version : null
-  } catch {
-    return null
+  if (manifest.kind === 'npm') {
+    try {
+      const parsed = JSON.parse(out)
+      return typeof parsed?.version === 'string' ? parsed.version : null
+    } catch {
+      return null
+    }
   }
+  return parsePyprojectFields(out).version
 }
 
 /**
- * Чи містить текст `CHANGELOG.md` запис `## [version]` (з опційним `- YYYY-MM-DD`).
- * @param {string} text вміст CHANGELOG.md
- * @param {string} version версія, яку шукаємо у форматі Keep a Changelog
- * @returns {boolean} `true`, якщо запис для `version` знайдено
+ * @param {string} text
+ * @param {string} version
+ * @returns {boolean}
  */
 function changelogHasVersionEntry(text, version) {
   const needle = `## [${version}]`
@@ -165,62 +229,68 @@ function changelogHasVersionEntry(text, version) {
 }
 
 /**
- * Зчитує `<ws>/package.json`. `null`, якщо файл відсутній або JSON некоректний.
- * @param {string} ws шлях воркспейсу (`'.'` для кореня)
- * @returns {Promise<Record<string, unknown> | null>} розпарсений `package.json` або `null`
+ * @param {string} name
+ * @returns {Promise<string | null>}
  */
-async function readPackageJsonOrNull(ws) {
-  const path = join(ws, 'package.json')
-  if (!existsSync(path)) return null
+async function defaultGetPublishedNpmVersion(name) {
   try {
-    const parsed = JSON.parse(await readFile(path, 'utf8'))
-    return parsed && typeof parsed === 'object' && !Array.isArray(parsed)
-      ? /** @type {Record<string, unknown>} */ (parsed)
-      : null
+    const { stdout } = await execFileAsync('npm', ['view', name, 'version'], { timeout: REGISTRY_TIMEOUT_MS })
+    const v = stdout.trim()
+    return v.length > 0 ? v : null
   } catch {
     return null
   }
 }
 
 /**
- * Воркспейс публікується в npm: має непорожній `name`, не `private: true`, і має масив `files`.
- * @param {Record<string, unknown> | null} pkg розпарсений `package.json` (або `null`)
- * @returns {boolean} `true`, якщо пакет придатний для публікації в npm
+ * @param {string} name
+ * @returns {Promise<string | null>}
  */
-function isNpmPublishable(pkg) {
-  if (!pkg) return false
-  if (typeof pkg.name !== 'string' || pkg.name.length === 0) return false
-  if (pkg.private === true) return false
-  return Array.isArray(pkg.files)
+async function defaultGetPublishedPyPiVersion(name) {
+  try {
+    const res = await fetch(`https://pypi.org/pypi/${encodeURIComponent(name)}/json`, {
+      signal: AbortSignal.timeout(REGISTRY_TIMEOUT_MS),
+    })
+    if (!res.ok) return null
+    const data = await res.json()
+    const v = data?.info?.version
+    return typeof v === 'string' && v.length > 0 ? v : null
+  } catch {
+    return null
+  }
 }
 
 /**
- * Опублікована версія пакета в npm-реєстрі. `null` — пакет не знайдено / нема мережі / помилка.
- * Дефолтна імплементація — `npm view <name> version` із таймаутом, щоб не блокуватись офлайн.
- * @param {string} name повна назва пакета (включно зі скоупом)
- * @returns {Promise<string | null>} опублікована версія або `null` (нема пакета / офлайн)
+ * @param {import('../../../../scripts/utils/package-manifest.mjs').PackageManifest} manifest
+ * @param {(name: string, kind?: import('../../../../scripts/utils/package-manifest.mjs').PackageKind) => Promise<string | null>} getPublishedVersion
+ * @returns {Promise<string | null>}
  */
-async function defaultGetPublishedVersion(name) {
-  try {
-    const { stdout } = await execFileAsync('npm', ['view', name, 'version'], { timeout: NPM_VIEW_TIMEOUT_MS })
-    const v = stdout.trim()
-    return v.length > 0 ? v : null
-  } catch {
-    return null
+async function resolvePublishedVersion(manifest, getPublishedVersion) {
+  if (!manifest.name) return null
+  return getPublishedVersion(manifest.name, manifest.kind)
+}
+
+/**
+ * @returns {(name: string, kind?: import('../../../../scripts/utils/package-manifest.mjs').PackageKind) => Promise<string | null>}
+ */
+function createDefaultGetPublishedVersion() {
+  return async (name, kind = 'npm') => {
+    if (kind === 'python') {
+      return defaultGetPublishedPyPiVersion(name)
+    }
+    return defaultGetPublishedNpmVersion(name)
   }
 }
 
 /**
- * Перевіряє масив `files` у `<ws>/package.json`: якщо оголошено — має містити `"CHANGELOG.md"`.
- * @param {Record<string, unknown> | null} pkg розпарсений `package.json` воркспейсу
- * @param {string} ws шлях воркспейсу (`'.'` для кореня)
- * @param {(msg: string) => void} pass callback при успішній перевірці
- * @param {(msg: string) => void} fail callback при помилці
+ * @param {import('../../../../scripts/utils/package-manifest.mjs').PackageManifest} manifest
+ * @param {(msg: string) => void} pass
+ * @param {(msg: string) => void} fail
  */
-function checkFilesArrayContainsChangelog(pkg, ws, pass, fail) {
-  if (!pkg || !Array.isArray(pkg.files)) return
-  const pkgPath = join(ws, 'package.json')
-  if (pkg.files.includes('CHANGELOG.md')) {
+function checkNpmFilesArrayContainsChangelog(manifest, pass, fail) {
+  if (manifest.kind !== 'npm' || !manifest.npmFiles) return
+  const pkgPath = manifestFilePath(manifest.ws, manifest)
+  if (manifest.npmFiles.includes('CHANGELOG.md')) {
     pass(`${pkgPath}: files містить "CHANGELOG.md"`)
   } else {
     fail(`${pkgPath}: масив files має містити "CHANGELOG.md", щоб публікувати changelog із пакетом`)
@@ -228,12 +298,11 @@ function checkFilesArrayContainsChangelog(pkg, ws, pass, fail) {
 }
 
 /**
- * Перевіряє наявність запису у `<ws>/CHANGELOG.md` для версії `version`.
- * @param {string} ws шлях воркспейсу (`'.'` для кореня)
- * @param {string} version версія, для якої очікується запис
- * @param {(msg: string) => void} pass callback при успішній перевірці
- * @param {(msg: string) => void} fail callback при помилці
- * @returns {Promise<boolean>} `false`, якщо файл відсутній або немає запису
+ * @param {string} ws
+ * @param {string} version
+ * @param {(msg: string) => void} pass
+ * @param {(msg: string) => void} fail
+ * @returns {Promise<boolean>}
  */
 async function verifyChangelogEntry(ws, version, pass, fail) {
   const label = ws === '.' ? '<root>' : ws
@@ -252,89 +321,147 @@ async function verifyChangelogEntry(ws, version, pass, fail) {
 }
 
 /**
- * npm-published режим: порівнює локальну `version` з опублікованою в реєстрі. Якщо вони
- * відрізняються — вимагає запис у CHANGELOG і `"CHANGELOG.md"` у `files`. Якщо реєстр недосяжний,
- * правило fail-safe пасує (щоб офлайн-розробка не блокувалась).
- * @param {string} ws шлях воркспейсу (`'.'` для кореня)
- * @param {Record<string, unknown>} pkg розпарсений `package.json` воркспейсу
- * @param {(name: string) => Promise<string | null>} getPublishedVersion стаб/реальна функція отримання опублікованої версії
- * @param {(msg: string) => void} pass callback при успішній перевірці
- * @param {(msg: string) => void} fail callback при помилці
+ * @param {import('../../../../scripts/utils/package-manifest.mjs').PackageManifest} manifest
+ * @returns {string}
  */
-async function checkPublishedWorkspace(ws, pkg, getPublishedVersion, pass, fail) {
-  const label = ws === '.' ? '<root>' : ws
-  const Vcurrent = typeof pkg.version === 'string' ? pkg.version : null
+function workspaceLabel(manifest) {
+  return manifest.ws === '.' ? '<root>' : manifest.ws
+}
+
+/**
+ * @param {import('../../../../scripts/utils/package-manifest.mjs').PackageManifest} manifest
+ * @param {string} Vcurrent
+ * @param {string[]} subWorkspaces
+ * @param {(msg: string) => void} pass
+ * @param {(msg: string) => void} fail
+ * @returns {Promise<void>}
+ */
+async function checkPublishedWorkspacePendingGitChanges(manifest, Vcurrent, subWorkspaces, pass, fail) {
+  const label = workspaceLabel(manifest)
+  const mf = manifestFilePath(manifest.ws, manifest)
+  if (!(await isInsideGitRepo())) {
+    return
+  }
+
+  const branch = await currentBranchName()
+  if (isIntegrationBranch(branch)) {
+    if (await workspaceHasRelevantChangesAgainstBase('HEAD', manifest.ws, subWorkspaces)) {
+      fail(
+        `${label}: у registry-published пакеті є незакомічені зміни при version ${Vcurrent}, що вже в реєстрі. ` +
+          `Підвищ version у ${mf} і додай запис у CHANGELOG.md (n-changelog.mdc)`
+      )
+    }
+    return
+  }
+
+  const baseRef = await resolveBaseRef()
+  if (!baseRef) {
+    return
+  }
+  const mergeBase = await resolveMergeBase(baseRef)
+  if (!mergeBase) {
+    return
+  }
+  if (!(await workspaceHasRelevantChangesAgainstBase(mergeBase, manifest.ws, subWorkspaces))) {
+    return
+  }
+
+  const Vbase = await readBaseVersion(mergeBase, manifest)
+  const baseLabel = baseRefLabel(baseRef)
+  if (Vbase === null || Vbase === Vcurrent) {
+    fail(
+      `${label}: у цій гілці є зміни в registry-published пакеті, але version у ${mf} ` +
+        `не підвищено (на ${baseLabel} — ${Vbase ?? '∅'}). Bump + запис у CHANGELOG.md обов'язкові на PR (n-changelog.mdc)`
+    )
+    return
+  }
+  pass(`${label}: version змінено (${Vbase} → ${Vcurrent}) — очікується запис CHANGELOG після bump`)
+}
+
+/**
+ * @param {import('../../../../scripts/utils/package-manifest.mjs').PackageManifest} manifest
+ * @param {string[]} subWorkspaces
+ * @param {(name: string, kind?: import('../../../../scripts/utils/package-manifest.mjs').PackageKind) => Promise<string | null>} getPublishedVersion
+ * @param {(msg: string) => void} pass
+ * @param {(msg: string) => void} fail
+ * @returns {Promise<void>}
+ */
+async function checkPublishedWorkspace(manifest, subWorkspaces, getPublishedVersion, pass, fail) {
+  const label = workspaceLabel(manifest)
+  const mf = manifestFilePath(manifest.ws, manifest)
+  const Vcurrent = manifest.version
   if (!Vcurrent) {
-    fail(`${label}: у package.json відсутнє поле version (npm-published воркспейс)`)
+    fail(`${label}: у ${mf} відсутнє поле version (registry-published воркспейс)`)
+    return
+  }
+  const name = manifest.name
+  if (!name) {
+    fail(`${label}: у ${mf} відсутнє ім'я пакета (registry-published воркспейс)`)
     return
   }
-  const name = /** @type {string} */ (pkg.name)
-  const Vpublished = await getPublishedVersion(name)
+  const Vpublished = await resolvePublishedVersion(manifest, getPublishedVersion)
   if (Vpublished === null) {
     pass(`${label}: ${name} — опублікована версія недоступна (мережа/реєстр), перевірку пропущено`)
     return
   }
   if (Vpublished === Vcurrent) {
-    pass(`${label}: ${name}@${Vcurrent} вже опубліковано — змін до релізу немає`)
+    pass(`${label}: ${name}@${Vcurrent} збігається з реєстром — перевіряємо git на незрелізні зміни`)
+    await checkPublishedWorkspacePendingGitChanges(manifest, Vcurrent, subWorkspaces, pass, fail)
     return
   }
   pass(`${label}: ${name} — нова локальна версія (${Vpublished} → ${Vcurrent})`)
-  await verifyChangelogEntry(ws, Vcurrent, pass, fail)
-  checkFilesArrayContainsChangelog(pkg, ws, pass, fail)
+  await verifyChangelogEntry(manifest.ws, Vcurrent, pass, fail)
+  checkNpmFilesArrayContainsChangelog(manifest, pass, fail)
 }
 
 /**
- * local-only режим: PR-scoped перевірка проти `dev` через `git merge-base`. Викликається лише
- * для воркспейсів, де є реальні зміни щодо merge-base.
- * @param {string} mergeBase SHA точки розгалуження
- * @param {string} ws шлях воркспейсу (`'.'` для кореня)
- * @param {Record<string, unknown> | null} pkg розпарсений `package.json` воркспейсу (або `null`)
- * @param {(msg: string) => void} pass callback при успішній перевірці
- * @param {(msg: string) => void} fail callback при помилці
+ * @param {string} mergeBase
+ * @param {import('../../../../scripts/utils/package-manifest.mjs').PackageManifest} manifest
+ * @param {string} baseLabel
+ * @param {(msg: string) => void} pass
+ * @param {(msg: string) => void} fail
  */
-async function checkLocalOnlyChangedWorkspace(mergeBase, ws, pkg, pass, fail) {
-  const label = ws === '.' ? '<root>' : ws
-  const Vcurrent = typeof pkg?.version === 'string' ? pkg.version : null
+async function checkLocalOnlyChangedWorkspace(mergeBase, manifest, baseLabel, pass, fail) {
+  const label = workspaceLabel(manifest)
+  const mf = manifestFilePath(manifest.ws, manifest)
+  const Vcurrent = manifest.version
   if (!Vcurrent) {
-    fail(`${label}: у package.json відсутнє поле version (потрібне для запису в CHANGELOG)`)
+    fail(`${label}: у ${mf} відсутнє поле version (потрібне для запису в CHANGELOG)`)
     return
   }
-  const Vbase = await readBaseVersion(mergeBase, ws)
-  if (Vbase !== null && Vbase === Vcurrent) {
+  const Vbase = await readBaseVersion(mergeBase, manifest)
+  if (Vbase === null || Vbase === Vcurrent) {
     fail(
-      `${label}: у цій гілці є зміни, але version у ${join(ws, 'package.json')} не підвищено (на ${BASE_BRANCH} — ${Vbase}). Bump + запис у CHANGELOG.md обов'язкові на PR`
+      `${label}: у цій гілці є зміни, але version у ${mf} не підвищено (на ${baseLabel} — ${Vbase ?? '∅'}). Bump + запис у CHANGELOG.md обов'язкові на PR`
     )
     return
   }
-  pass(`${label}: version підвищено (${Vbase ?? '∅'} → ${Vcurrent})`)
-  if (!(await verifyChangelogEntry(ws, Vcurrent, pass, fail))) return
-  checkFilesArrayContainsChangelog(pkg, ws, pass, fail)
+  pass(`${label}: version підвищено (${Vbase} → ${Vcurrent})`)
+  if (!(await verifyChangelogEntry(manifest.ws, Vcurrent, pass, fail))) return
+  checkNpmFilesArrayContainsChangelog(manifest, pass, fail)
 }
 
 /**
- * Виконує local-only перевірку для всіх workspace-ів, у яких немає npm-published режиму.
- * @param {string[]} localOnlyWorkspaces список шляхів local-only воркспейсів
- * @param {Map<string, Record<string, unknown> | null>} pkgByWs мапа: шлях воркспейсу → розпарсений `package.json` (або `null`)
- * @param {string[]} subWorkspaces усі під-воркспейси (для коректного pathspec кореня)
- * @param {(msg: string) => void} pass callback при успішній перевірці
- * @param {(msg: string) => void} fail callback при помилці
- * @returns {Promise<void>} резолвиться по завершенню перевірок усіх local-only воркспейсів
+ * @param {import('../../../../scripts/utils/package-manifest.mjs').PackageManifest[]} localOnly
+ * @param {string[]} subWorkspaces
+ * @param {(msg: string) => void} pass
+ * @param {(msg: string) => void} fail
  */
-async function runLocalOnlyChecks(localOnlyWorkspaces, pkgByWs, subWorkspaces, pass, fail) {
-  if (localOnlyWorkspaces.length === 0) return
+async function runLocalOnlyChecks(localOnly, subWorkspaces, pass, fail) {
+  if (localOnly.length === 0) return
 
   if (!(await isInsideGitRepo())) {
     pass('changelog: не git-репозиторій — local-only перевірку пропущено')
     return
   }
   const branch = await currentBranchName()
-  if (branch === BASE_BRANCH) {
-    pass(`changelog: поточна гілка = ${BASE_BRANCH} — local-only перевірку пропущено`)
+  if (branch === 'dev') {
+    pass('changelog: поточна гілка = dev — local-only перевірку пропущено')
     return
   }
   const baseRef = await resolveBaseRef()
   if (!baseRef) {
-    pass(`changelog: ref ${BASE_BRANCH} (та origin/${BASE_BRANCH}) не знайдено — local-only перевірку пропущено`)
+    pass('changelog: ref dev/main (та origin/*) не знайдено — local-only перевірку пропущено')
     return
   }
   const mergeBase = await resolveMergeBase(baseRef)
@@ -343,11 +470,12 @@ async function runLocalOnlyChecks(localOnlyWorkspaces, pkgByWs, subWorkspaces, p
     return
   }
 
+  const baseLabel = baseRefLabel(baseRef)
   let checkedAny = false
-  for (const ws of localOnlyWorkspaces) {
-    if (!(await workspaceHasChangesAgainstBase(mergeBase, ws, subWorkspaces))) continue
+  for (const manifest of localOnly) {
+    if (!(await workspaceHasRelevantChangesAgainstBase(mergeBase, manifest.ws, subWorkspaces))) continue
     checkedAny = true
-    await checkLocalOnlyChangedWorkspace(mergeBase, ws, pkgByWs.get(ws) ?? null, pass, fail)
+    await checkLocalOnlyChangedWorkspace(mergeBase, manifest, baseLabel, pass, fail)
   }
   if (!checkedAny) {
     pass(`changelog: local-only воркспейси без змін відносно merge-base(${baseRef})`)
@@ -355,46 +483,40 @@ async function runLocalOnlyChecks(localOnlyWorkspaces, pkgByWs, subWorkspaces, p
 }
 
 /**
- * Перевіряє відповідність проєкту правилу changelog.mdc.
- * @param {object} [opts] опції перевірки
- * @param {(name: string) => Promise<string | null>} [opts.getPublishedVersion] перевизначення для тестів
- * @returns {Promise<number>} 0 — все OK, 1 — є проблеми
+ * @param {object} [opts]
+ * @param {(name: string, kind?: import('../../../../scripts/utils/package-manifest.mjs').PackageKind) => Promise<string | null>} [opts.getPublishedVersion] перевизначення npm/PyPI у тестах
+ * @returns {Promise<number>}
  */
 export async function check(opts = {}) {
   const reporter = createCheckReporter()
   const { pass, fail } = reporter
-  const getPublishedVersion = opts.getPublishedVersion ?? defaultGetPublishedVersion
+  const getPublishedVersion = opts.getPublishedVersion ?? createDefaultGetPublishedVersion()
 
-  const workspaces = await getMonorepoPackageRootDirs(process.cwd())
+  const workspaces = await getMonorepoProjectRootDirs(process.cwd())
   const subWorkspaces = workspaces.filter(w => w !== '.')
 
-  /** @type {Map<string, Record<string, unknown> | null>} */
-  const pkgByWs = new Map()
-  /** @type {string[]} */
-  const publishedWorkspaces = []
-  /** @type {string[]} */
-  const localOnlyWorkspaces = []
+  /** @type {import('../../../../scripts/utils/package-manifest.mjs').PackageManifest[]} */
+  const published = []
+  /** @type {import('../../../../scripts/utils/package-manifest.mjs').PackageManifest[]} */
+  const localOnly = []
+
   for (const ws of workspaces) {
-    const pkg = await readPackageJsonOrNull(ws)
-    pkgByWs.set(ws, pkg)
-    if (isNpmPublishable(pkg)) {
-      publishedWorkspaces.push(ws)
+    const manifest = await readPackageManifest(ws)
+    if (!manifest) {
+      continue
+    }
+    if (manifest.registryPublishable) {
+      published.push(manifest)
     } else {
-      localOnlyWorkspaces.push(ws)
+      localOnly.push(manifest)
     }
   }
 
-  for (const ws of publishedWorkspaces) {
-    await checkPublishedWorkspace(
-      ws,
-      /** @type {Record<string, unknown>} */ (pkgByWs.get(ws)),
-      getPublishedVersion,
-      pass,
-      fail
-    )
+  for (const manifest of published) {
+    await checkPublishedWorkspace(manifest, subWorkspaces, getPublishedVersion, pass, fail)
   }
 
-  await runLocalOnlyChecks(localOnlyWorkspaces, pkgByWs, subWorkspaces, pass, fail)
+  await runLocalOnlyChecks(localOnly, subWorkspaces, pass, fail)
 
   return reporter.getExitCode()
 }

package/rules/hasura/fix/internal_urls/check.mjs

@@ -9,10 +9,11 @@
  *
  * Очікуваний формат URL — кластерний DNS-суфікс `<cluster>.internal`:
  *  - GKE / GCP: `http://<service>.<namespace>.svc.<cluster>.internal:<port>`
- *    приклад: `http://contract-h.ua-contract.svc.abie-ua.internal:8080`
+ *    приклад: `http://contract-h-hl.ua-contract.svc.abie-ua.internal:8080`
  *
  * Сегменти беруться з `hasura/k8s/base/svc-hl.yaml` (`metadata.name` —
- * має закінчуватись на `-h`, headless-сервіс) і `hasura/k8s/base/namespace.yaml`
+ * headless, має закінчуватись на `-h-hl`; див. `hasura.svc_hl` / k8s.svc_hl_yaml) і
+ * `hasura/k8s/base/namespace.yaml`
  * (`metadata.name` — namespace). Якщо ці YAML є в репозиторії, у URL додатково
  * звіряються конкретні `<service>` і `<namespace>` з ними.
  *

package/rules/hasura/hasura.mdc

@@ -1,6 +1,6 @@
 ---
 description: Правила для директорії з hasura graphql-engine
-version: '1.1'
+version: '1.2'
 globs: "**/hasura/**,**/*.env"
 alwaysApply: false
 ---
@@ -18,10 +18,10 @@ HASURA_GRAPHQL_ENDPOINT=https://vybeerai.com.ua/contract/ql
 Правильне значення:
 
 ```env
-HASURA_GRAPHQL_ENDPOINT=http://contract-h.ua-contract.svc.abie-ua.internal:8080
+HASURA_GRAPHQL_ENDPOINT=http://contract-h-hl.ua-contract.svc.abie-ua.internal:8080
 ```
 
-де `contract-h` — це `metadata.name` сервісу з `hasura/k8s/base/svc-hl.yaml`, а `ua-contract` — `metadata.name` namespace з `hasura/k8s/base/namespace.yaml`.
+де `contract-h-hl` — це `metadata.name` headless Service з `hasura/k8s/base/svc-hl.yaml` (пара з clusterIP `contract-h` у `svc.yaml`, якщо є; узгоджено з k8s: суфікс `-hl` на базі `-h`), а `ua-contract` — `metadata.name` namespace з `hasura/k8s/base/namespace.yaml`.
 
 Правило застосовується для проєктів **nitra** (у кореневому `package.json` `"repository": "https://github.com/nitra/*"`) і **abie** (`"repository": "https://github.com/abinbevefes/*"`); для інших репозиторіїв перевірка пропускається.
 

package/rules/hasura/policy/svc_hl/svc_hl.rego

@@ -1,28 +1,50 @@
-# Порт мінімальної структурної перевірки `hasura/k8s/base/svc-hl.yaml` з
-# `npm/scripts/check-hasura.mjs` (hasura.mdc): для кожного Service у файлі
-# `metadata.name` має закінчуватись на `-h` (headless-сервіс Hasura).
+# Іменування Service у `hasura/k8s/base/svc.yaml` та `svc-hl.yaml`, узгоджене з
+# `k8s.svc_hl_yaml` / `k8s.svc_yaml` (пара clusterIP + headless під `k8s/**/`).
+#
+# Hasura-конвенція: базовий сегмент закінчується на `-h`; headless додає `-hl`
+# → повне ім'я `*-h-hl` (також задовольняє k8s-вимогу суфікса `-hl`).
 #
 # Запуск (локально):
-#   conftest test hasura/k8s/base/svc-hl.yaml -p npm/policy/hasura \
+#   conftest test hasura/k8s/base/svc-hl.yaml -p npm/rules/hasura/policy/svc_hl \
 #     --namespace hasura.svc_hl
 #
-# Решта логіки `check-hasura.mjs` (звірення `HASURA_GRAPHQL_ENDPOINT` в `.env`-файлах
-# з `<service>.<namespace>.svc.<cluster>` через regex по всьому дереву репо, gating
-# на `repository` у кореневому `package.json`) — у JS: вона потребує текстового
-# парсингу `.env`-файлів, обходу дерева й cross-file resolution. JS authoritative;
-# ця Rego — додатковий gate (JS неявно перевіряє суфікс через звірку URL).
-#
-# Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
-# Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`
-# (.cursor/rules/conftest.mdc). Лінт — `bun run lint-rego` (regal).
+# Cross-file (`HASURA_GRAPHQL_ENDPOINT` ↔ YAML) — `fix/internal_urls/check.mjs`.
 package hasura.svc_hl
 
 import rego.v1
 
+# Суфікс clusterIP Service у hasura/k8s/base (і база для пари з svc-hl.yaml).
+hasura_cluster_suffix := "-h"
+
+# Headless: `<cluster-name>-hl`, напр. `db-h` → `db-h-hl`.
+hasura_headless_suffix := "-h-hl"
+
+service_is_headless if {
+	input.kind == "Service"
+	spec := object.get(input, "spec", {})
+	is_object(spec)
+	spec.clusterIP == "None"
+}
+
+deny contains msg if {
+	service_is_headless
+	name := object.get(object.get(input, "metadata", {}), "name", "")
+	name != ""
+	not endswith(name, hasura_headless_suffix)
+	msg := sprintf(
+		"hasura svc-hl.yaml: headless Service %q має закінчуватись на `%s` (узгоджено з k8s.svc_hl_yaml `-hl`; hasura.mdc)",
+		[name, hasura_headless_suffix],
+	)
+}
+
 deny contains msg if {
 	input.kind == "Service"
+	not service_is_headless
 	name := object.get(object.get(input, "metadata", {}), "name", "")
 	name != ""
-	not endswith(name, "-h")
-	msg := sprintf("hasura svc-hl.yaml: Service %q має закінчуватись на `-h` (hasura.mdc / k8s.mdc)", [name])
+	not endswith(name, hasura_cluster_suffix)
+	msg := sprintf(
+		"hasura svc.yaml: clusterIP Service %q має закінчуватись на `%s` (hasura.mdc / k8s.mdc)",
+		[name, hasura_cluster_suffix],
+	)
 }

package/rules/hasura/policy/svc_hl/target.json

@@ -1,4 +1,6 @@
 {
   "$schema": "https://unpkg.com/@nitra/cursor/schemas/target.json",
-  "files": { "single": "hasura/k8s/base/svc-hl.yaml" }
+  "files": {
+    "walkGlob": ["hasura/k8s/base/svc.yaml", "hasura/k8s/base/svc-hl.yaml"]
+  }
 }

package/rules/js-lint/js-lint.mdc

@@ -2,7 +2,7 @@
 description: Перевірка JavaScript коду
 globs: "**/{.oxlintrc.json,eslint.config.js,.jscpd.json,knip.json,package.json},**/*.{js,mjs,cjs,jsx,ts,tsx}"
 alwaysApply: false
-version: '1.22'
+version: '1.23'
 ---
 
 **oxlint**, **ESLint**, **jscpd**, **knip**. У скрипті **`lint-js`** і в CI — **`bunx oxlint`**, **`bunx eslint`**, **`bunx jscpd`**, **`bunx knip`** (у CI без **`--fix`** для oxlint/eslint — див. приклад workflow нижче). Без **prettier** і **@nitra/prettier-config**. У **`devDependencies`** має бути **`@nitra/eslint-config` мінімум `^3.9.2`** (з **3.8.0** правило `no-restricted-syntax` забороняє `for...in`; з **3.9.2** у `getConfig` вбудовано ignore для **`**/adr/**`** — ADR-документи не валідуються ESLint, локально цей glob додавати не потрібно; також транзитивно йде **`@e18e/eslint-plugin`** для oxlint); пакет **`@e18e/eslint-plugin`** окремо не додавай. Пакети oxlint/eslint/jscpd/knip не додавай без потреби монорепо.
@@ -21,6 +21,10 @@ version: '1.22'
 }
 ```
 
+Канон `type` + `scripts.lint-js` (substring requirement): [package.json.snippet.json](./policy/package_json/template/package.json.snippet.json)
+
+У `.vscode/extensions.json` `recommendations` мають містити `dbaeumer.vscode-eslint`, `github.vscode-github-actions`, `oxc.oxc-vscode`: [extensions.json.snippet.json](./policy/vscode_extensions/template/extensions.json.snippet.json)
+
 У корені має бути **`.oxlintrc.json`**, який **збігається з каноном** oxlint з пакета **`@nitra/cursor`**: файл **`npm/scripts/utils/oxlint-canonical.json`** (plugins, jsPlugins з **`@e18e/eslint-plugin`**, categories, повний набір **rules** із канону — додаткові записи в **`rules`** дозволені; також **`settings`**, **`env`**, **`globals`**). Поле **`ignorePatterns`** працює як **`rules`**: канонічні патерни з **`oxlint-canonical.json`** (наразі **`**/schema.graphql`**, **`**/auto-imports.d.ts`**) мають бути присутні, додаткові локальні glob-и дозволені. Оновити канон можна з репозиторію пакета або скопіювавши файл після **`bun ./scripts/utils/rebuild-oxlint-canonical.mjs`** (джерело правил — **`oxlint-rules.tsv`** + скелет **`oxlint-canonical-skeleton.json`**). Модуль **`@e18e/eslint-plugin`** не оголошуй окремо в **`package.json`** — він уже в залежностях **`@nitra/eslint-config`** (з **3.8.0**), oxlint підвантажує його з **`node_modules`**.
 
 Мінімум для розуміння структури (реальний корінь конфігу має збігатися з каноном повністю):
@@ -48,6 +52,8 @@ version: '1.22'
 }
 ```
 
+Канон базових ключів `.jscpd.json` (`gitignore`, `exitCode`, `reporters`, `minLines`): [.jscpd.json.snippet.json](./policy/jscpd/template/.jscpd.json.snippet.json)
+
 ```text title=".gitignore (фрагмент)"
 .claude/worktrees/
 ```
@@ -122,6 +128,8 @@ jobs:
           bunx knip --no-config-hints
 ```
 
+Канон workflow `.github/workflows/lint-js.yml`: [lint-js.yml.snippet.yml](./policy/lint_js_yml/template/lint-js.yml.snippet.yml)
+
 Перед **`./.github/actions/setup-bun-deps`** — **`actions/checkout@v6`** (див. **ga.mdc**). Composite: Node 24, Bun, кеш, `bun install --frozen-lockfile`.
 
 Один workflow на лінт JS; зайвий `lint.yml` з тими самими кроками — прибери.

package/rules/js-run/js-run.mdc

@@ -2,7 +2,7 @@
 description: Це правила для backend проектів на JavaScript/Node.js, сюди входять і job і WEB сервери.
 globs: "**/package.json,**/jsconfig.json,**/src/**/*.{js,mjs,cjs,ts,tsx}"
 alwaysApply: false
-version: '1.8'
+version: '1.9'
 ---
 
 ## Область застосування
@@ -46,16 +46,20 @@ readme.md
 }
 ```
 
+Канон: [jsconfig.json.snippet.json](./policy/jsconfig/template/jsconfig.json.snippet.json)
+
 Якщо пакет не слідує структурі з `src/` (наприклад, лише `scripts/` у корені) — ця вимога не застосовується; для типових сервісів із `src/` файл обов’язковий і має збігатися з каноном.
 
 ## Використання @nitra/pino
 
 Проект використовує @nitra/pino для логування.
-Якщо в проекті присутній @nitra/bunyan, то він повинен бути замінений на @nitra/pino — як у `package.json`, так і в коді: усі `import` / `require` / динамічні `import()` з `@nitra/bunyan` (і застарілого `bunyan`) треба замінити на `@nitra/pino` і за потреби адаптувати виклики під його API.
+Якщо в проекті присутній @nitra/bunyan, то він повинен бути замінений на @nitra/pino — як у `package.json`, так і в коді: усі `import` / `require` / динамічні `import()` з `@nitra/bunyan` (і застарілого `bunyan`) треба замінити на `@nitra/pino` і за потреби адаптувати виклики під його API. Канон заборонених `dependencies` / `devDependencies` (`bunyan`, `@nitra/bunyan`): [package.json.deny.json](./policy/package_json/template/package.json.deny.json)
 
 В **/k8s/base/configmap.yaml повинен бути заданий OTEL_RESOURCE_ATTRIBUTES: 'service.name=<project_name>,service.namespace=<project_namespace>'
 а в директоріях з kustomize повинні бути перевизначені значення OTEL_RESOURCE_ATTRIBUTES і в них service.namespace повинен відповідати namespace, в якому знаходиться дана директорія.
 
+Канон обовʼязкових substring у `data.OTEL_RESOURCE_ATTRIBUTES` (`service.name=`, `service.namespace=`): [configmap.yaml.contains.yml](./policy/configmap/template/configmap.yaml.contains.yml)
+
 ## Внутрішні аліаси
 
 Якщо в проекті є підключення до баз даних, зовнішніх graphql на кшталт:

package/rules/text/text.mdc

@@ -1,7 +1,7 @@
 ---
 description: Обробка та перевірка текстових файлів, oxfmt, cspell, shellcheck (sh), dotenv-linter (.env*), markdownlint-cli2, v8r, CI
 alwaysApply: true
-version: '1.27'
+version: '1.28'
 ---
 
 **oxfmt** (`.oxfmtrc.json`, редактор), **cspell**, **shellcheck** (tracked `*.sh` у `lint-text`), **[dotenv-linter](https://dotenv-linter.github.io/)** (`.env*` у `lint-text`), **markdownlint-cli2**, **[v8r](https://chris48s.github.io/v8r/)** ([Schema Store](https://www.schemastore.org/)), розширення **DavidAnson.vscode-markdownlint** / **timonwong.shellcheck**, workflow **`lint-text`**.
@@ -20,6 +20,8 @@ version: '1.27'
 }
 ```
 
+Канон `recommendations` (substring requirement): [extensions.json.snippet.json](./policy/vscode_extensions/template/extensions.json.snippet.json)
+
 ```json title=".vscode/settings.json"
 {
   "files.associations": {
@@ -79,6 +81,8 @@ version: '1.27'
 }
 ```
 
+Канон `editor.formatOnSave` + `editor.defaultFormatter` для основних мов: [settings.json.snippet.json](./policy/vscode_settings/template/settings.json.snippet.json)
+
 У корені проєкту має бути файл з правилами форматування для **oxfmt**:
 
 ```json title=".oxfmtrc.json"
@@ -105,9 +109,11 @@ version: '1.27'
 }
 ```
 
+Канон мінімального набору ключів і `ignorePatterns`: [.oxfmtrc.json.snippet.json](./policy/oxfmtrc/template/.oxfmtrc.json.snippet.json)
+
 Поле **`ignorePatterns`** обовʼязкове: у масиві мають бути **`**/hasura/metadata/**`**, **`**/schema.graphql`** і **`**/auto-imports.d.ts`**; інші glob-и додавай за потреби (згенеровані каталоги тощо) — канон задає мінімум, локальні розширення дозволені.
 
-Також потрібно прибрати, якщо є в проєкті, модуль **`@nitra/prettier-config`**, **prettier** та всі виклики prettier і налаштування для нього.
+Також потрібно прибрати, якщо є в проєкті, модуль **`@nitra/prettier-config`**, **prettier** та всі виклики prettier і налаштування для нього. Канон заборонених top-level/`dependencies`/`devDependencies` (prettier, `@nitra/prettier-config`, `markdownlint-cli2`): [package.json.deny.json](./policy/package_json/template/package.json.deny.json)
 
 Завжди пиши **JSDoc** до функцій та методів.
 
@@ -156,6 +162,8 @@ version: '1.27'
 }
 ```
 
+Канон: [.markdownlint-cli2.jsonc.snippet.jsonc](./policy/markdownlint/template/.markdownlint-cli2.jsonc.snippet.jsonc)
+
 **MD041** off навмисно (`.mdc` з frontmatter). Деталі — [markdownlint-cli2](https://github.com/DavidAnson/markdownlint-cli2).
 
 ## Cspell
@@ -238,6 +246,8 @@ jobs:
 }
 ```
 
+Канон базових ключів `.cspell.json` (`version`, `ignorePaths`): [.cspell.json.snippet.json](./policy/cspell/template/.cspell.json.snippet.json). Обовʼязковий запис у `import`: [.cspell.json.contains.json](./policy/cspell/template/.cspell.json.contains.json). Заборонено імпортувати окремі `@cspell/dict-*` у `.cspell.json`: [.cspell.json.deny.json](./policy/cspell/template/.cspell.json.deny.json).
+
 ```json title="package.json"
 {
   "scripts": {

package/scripts/utils/package-manifest.mjs

@@ -0,0 +1,158 @@
+/**
+ * Уніфікований маніфест пакета для перевірок changelog: `package.json` (npm/JS)
+ * або `pyproject.toml` (Python / PEP 621, Poetry).
+ */
+import { existsSync } from 'node:fs'
+import { glob, readFile } from 'node:fs/promises'
+import { dirname, join, relative } from 'node:path'
+
+import { parse as parseToml } from 'smol-toml'
+
+import { getMonorepoPackageRootDirs } from './workspaces.mjs'
+
+/** @typedef {'npm' | 'python'} PackageKind */
+
+/**
+ * @typedef {object} PackageManifest
+ * @property {PackageKind} kind
+ * @property {string} ws відносний шлях воркспейсу (`'.'` для кореня)
+ * @property {string} manifestRel `package.json` | `pyproject.toml`
+ * @property {string | null} name ім'я пакета (npm / PyPI)
+ * @property {string | null} version semver-рядок
+ * @property {boolean} registryPublishable чи застосовується режим порівняння з реєстром
+ * @property {string[] | null} [npmFiles] лише npm: `files` з package.json
+ */
+
+const PYPROJECT_GLOB_IGNORE = ['**/node_modules/**', '**/.git/**', '**/.venv/**', '**/venv/**']
+
+/**
+ * @param {unknown} doc розпарсений pyproject.toml
+ * @returns {{ name: string | null, version: string | null }}
+ */
+function projectFieldsFromPyprojectDoc(doc) {
+  if (!doc || typeof doc !== 'object' || Array.isArray(doc)) {
+    return { name: null, version: null }
+  }
+  const root = /** @type {Record<string, unknown>} */ (doc)
+  const project = root.project
+  if (project && typeof project === 'object' && !Array.isArray(project)) {
+    const p = /** @type {Record<string, unknown>} */ (project)
+    return {
+      name: typeof p.name === 'string' ? p.name : null,
+      version: typeof p.version === 'string' ? p.version : null,
+    }
+  }
+  const tool = root.tool
+  if (tool && typeof tool === 'object' && !Array.isArray(tool)) {
+    const poetry = /** @type {Record<string, unknown>} */ (tool).poetry
+    if (poetry && typeof poetry === 'object' && !Array.isArray(poetry)) {
+      const po = /** @type {Record<string, unknown>} */ (poetry)
+      return {
+        name: typeof po.name === 'string' ? po.name : null,
+        version: typeof po.version === 'string' ? po.version : null,
+      }
+    }
+  }
+  return { name: null, version: null }
+}
+
+/**
+ * @param {string} text вміст pyproject.toml
+ * @returns {{ name: string | null, version: string | null }}
+ */
+export function parsePyprojectFields(text) {
+  try {
+    return projectFieldsFromPyprojectDoc(parseToml(text))
+  } catch {
+    return { name: null, version: null }
+  }
+}
+
+/**
+ * @param {string} ws шлях воркспейсу
+ * @returns {Promise<PackageManifest | null>}
+ */
+export async function readPackageManifest(ws) {
+  const pkgPath = join(ws, 'package.json')
+  if (existsSync(pkgPath)) {
+    try {
+      const parsed = JSON.parse(await readFile(pkgPath, 'utf8'))
+      if (!parsed || typeof parsed !== 'object' || Array.isArray(parsed)) {
+        return null
+      }
+      const pkg = /** @type {Record<string, unknown>} */ (parsed)
+      const registryPublishable =
+        typeof pkg.name === 'string' &&
+        pkg.name.length > 0 &&
+        pkg.private !== true &&
+        Array.isArray(pkg.files)
+      return {
+        kind: 'npm',
+        ws,
+        manifestRel: 'package.json',
+        name: typeof pkg.name === 'string' ? pkg.name : null,
+        version: typeof pkg.version === 'string' ? pkg.version : null,
+        registryPublishable,
+        npmFiles: Array.isArray(pkg.files) ? pkg.files : null,
+      }
+    } catch {
+      return null
+    }
+  }
+
+  const pyPath = join(ws, 'pyproject.toml')
+  if (!existsSync(pyPath)) {
+    return null
+  }
+  const fields = parsePyprojectFields(await readFile(pyPath, 'utf8'))
+  const registryPublishable = Boolean(fields.name && fields.version)
+  return {
+    kind: 'python',
+    ws,
+    manifestRel: 'pyproject.toml',
+    name: fields.name,
+    version: fields.version,
+    registryPublishable,
+    npmFiles: null,
+  }
+}
+
+/**
+ * Каталоги пакетів: npm (`package.json` / workspaces) + Python (`pyproject.toml` без package.json).
+ * @param {string} [repoRoot]
+ * @returns {Promise<string[]>}
+ */
+export async function getMonorepoProjectRootDirs(repoRoot = '.') {
+  const roots = new Set(await getMonorepoPackageRootDirs(repoRoot))
+
+  if (existsSync(join(repoRoot, 'pyproject.toml')) && !existsSync(join(repoRoot, 'package.json'))) {
+    roots.add('.')
+  }
+
+  for await (const relPy of glob('**/pyproject.toml', { cwd: repoRoot, ignore: PYPROJECT_GLOB_IGNORE })) {
+    const absDir = dirname(join(repoRoot, relPy))
+    const relRoot = relative(repoRoot, absDir)
+    const ws = relRoot === '' ? '.' : relRoot
+    if (!existsSync(join(repoRoot, ws, 'package.json'))) {
+      roots.add(ws)
+    }
+  }
+
+  const list = [...roots]
+  list.sort((a, b) => {
+    if (a === '.') return -1
+    if (b === '.') return 1
+    return a.localeCompare(b)
+  })
+  return list
+}
+
+/**
+ * Шлях до файлу маніфесту воркспейсу.
+ * @param {string} ws
+ * @param {PackageManifest} manifest
+ * @returns {string}
+ */
+export function manifestFilePath(ws, manifest) {
+  return join(ws, manifest.manifestRel)
+}

package/scripts/utils/template.mjs

@@ -28,8 +28,9 @@ async function parseByExt(path) {
 }
 
 function stripJsonComments(s) {
-  // Minimal: strip // line comments and /* */ block comments. JSON-with-comments format.
-  return s.replace(/\/\*[\s\S]*?\*\//g, '').replace(/^\s*\/\/.*$/gm, '')
+  // Match string literals OR comments. Strings are returned unchanged so we never
+  // strip `/*` / `//` / `*/` that appear inside values (e.g. glob `**/node_modules/**`).
+  return s.replace(/"(?:\\.|[^"\\])*"|\/\*[\s\S]*?\*\/|\/\/[^\n]*/g, m => (m.startsWith('"') ? m : ''))
 }
 
 async function walk(dir, base = dir) {