@nitra/cursor 1.13.43 → 1.13.45

package/CHANGELOG.md

@@ -4,6 +4,20 @@
 
 Формат — [Keep a Changelog](https://keepachangelog.com/uk/1.1.0/), нумерація — [SemVer](https://semver.org/lang/uk/).
 
+## [1.13.45] - 2026-05-19
+
+### Fixed
+
+- `inlineTemplateLinks` tests: оновлено очікувані рядки для фікстури `__fixtures__/inline-template/fix/foo/template/snippet.json` (перейшла на форматований варіант `{ "key": "val" }` ще в 1.13.38) та для інтеграційного тесту `security.mdc` (snippet `package.json` тепер multi-line після lint-проходу). Без зміни рантайм-логіки.
+- `check-ga` тестова фікстура `setupCanonicalGaProject`: додано крок `Install conftest` у `.github/workflows/lint-ga.yml`, без якого `ga.lint_ga` rego-полісі забороняє workflow і `check()` повертав 1.
+
+## [1.13.44] - 2026-05-18
+
+### Added
+
+- `abie` rule: новий policy-концерн `abie.package_json_docs` — у кореневому `package.json` `devDependencies` має містити `@nitra/abie-docs` (presence-only, версію не фіксуємо). Реалізація: `npm/rules/abie/policy/package_json_docs/` (target.json + .rego + _test.rego). Bump `abie.mdc` `1.20` → `1.21`.
+- `efes` rule: перший policy-концерн `efes.package_json_docs` — у кореневому `package.json` `devDependencies` має містити `@nitra/efes-docs` (узгоджено з `graphql.mdc`, де схема береться з `node_modules/@nitra/efes-docs/schema/maya.graphql`). Реалізація: `npm/rules/efes/policy/package_json_docs/`. Bump `efes.mdc` `1.0` → `1.1`.
+
 ## [1.13.43] - 2026-05-18
 
 ### Removed
@@ -14,7 +28,7 @@
 
 ### Added
 
-- `efes` rule: новий (поки що порожній) пакет правил для проєктів **github.com/efes-cloud/***. Автодетект у `auto-rules.mjs` через `EFES_REPOSITORY_URL_MARKER` (`https://github.com/efes-cloud/`) — аналогічно до `abie`. Додано `npm/rules/efes/efes.mdc` + `auto.md`, прописано порядок в `AUTO_RULE_ORDER` і покрито тестами в `auto-rules.test.mjs`.
+- `efes` rule: новий (поки що порожній) пакет правил для проєктів **github.com/efes-cloud/\***. Автодетект у `auto-rules.mjs` через `EFES_REPOSITORY_URL_MARKER` (`https://github.com/efes-cloud/`) — аналогічно до `abie`. Додано `npm/rules/efes/efes.mdc` + `auto.md`, прописано порядок в `AUTO_RULE_ORDER` і покрито тестами в `auto-rules.test.mjs`.
 - `efes-create-env` skill: повʼязано з правилом `efes` через `skills/efes-create-env/auto.md` (`[efes]`) — активується автоматично, коли репозиторій відповідає efes-маркеру. Тести в `auto-skills.test.mjs` фіксують позитивний і негативний випадки.
 
 ## [1.13.41] - 2026-05-18

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nitra/cursor",
-  "version": "1.13.43",
+  "version": "1.13.45",
   "description": "CLI для завантаження cursor-правил (префікс n-) у локальний репозиторій",
   "keywords": [
     "cli",

package/rules/abie/abie.mdc

@@ -1,7 +1,7 @@
 ---
 description: Правила для проєктів AbInBev Efes
 alwaysApply: true
-version: '1.20'
+version: '1.21'
 ---
 
 Правило **abie** для споживачів **@nitra/cursor**: **k8s** (Deployment + **HealthCheckPolicy** у **`hc.yaml`**, overlay **ua** — **nodeSelector**, **HTTPRoute** (будь-який непорожній **`target.name`**, для спільних сервісів **`auth-run-hl`** / **`file-link-hl`** — **`namespace: dev`** у base та patch **`…/backendRefs/…/namespace`** у **ua**)), гілки **dev**, **ua** у **clean-merged-branch**, а також заборона тримати артефакти **Firebase Hosting** у **підкаталогах першого рівня** (безпосередні діти кореня репозиторію; у самому корені ці імена не вимагаються до видалення).
@@ -140,6 +140,14 @@ KVCMS_URL=http://kvcms-hl.ua-apruv.svc.abie-ua.internal:8080
 
 Загальне правило про **внутрішній** URL (не публічний домен) для `HASURA_GRAPHQL_ENDPOINT` лишається у **`hasura.mdc`** (для nitra і abie) — `check-hasura.mjs` приймає кластерний DNS-формат `<cluster>.internal`.
 
+## `@nitra/abie-docs` у `devDependencies`
+
+У кореневому **`package.json`** abie-проєкту в **`devDependencies`** має бути **`@nitra/abie-docs`** — пакет з канонічними контрактами/схемами abie-сервісів (наприклад, шляхи `node_modules/@nitra/abie-docs/...` для імпорту схем). Версію правило не фіксує — лише presence. Додати:
+
+```bash
+bun add -d @nitra/abie-docs
+```
+
 ## Firebase Hosting
 
 У **кожному** підкаталозі, що лежить **безпосередньо** в корені репозиторію, не тримати конфіг і кеш **Firebase Hosting**: у таких каталогах не повинно бути **`.firebaserc`**, **`firebase.json`** та каталогу **`.firebase/`** (у **самому** корені репозиторію ці імена перевіркою abie **не** розглядаються; `node_modules` / `.git` зі скану вилучаються).
@@ -160,5 +168,6 @@ KVCMS_URL=http://kvcms-hl.ua-apruv.svc.abie-ua.internal:8080
 - **`health_check_policy/`** → `abie.health_check_policy` — структура HealthCheckPolicy: `apiVersion: networking.gke.io/v1`, `metadata.name`, `spec.default.config.type: HTTP`, `httpHealthCheck.requestPath` починається з `/`, `port: 8080`, `targetRef.kind: Service`, `targetRef.name` має суфікс `-hl`. **Цільові файли:** `…/k8s/.../hc.yaml`.
 - **`base_deployment_preem/`** → `abie.base_deployment_preem` — Deployment у base/ має `spec.template.spec.nodeSelector.preem` зі значенням `true` (boolean або рядок). **Цільові файли:** ресурсні YAML під `…/k8s/.../base/...`.
 - **`clean_merged_ignore_branches/`** → `abie.clean_merged_ignore_branches` — у workflow `.github/workflows/clean-merged-branch.yml` крок з `uses: phpdocker-io/github-actions-delete-abandoned-branches` має `with.ignore_branches`, що містить токени `dev,ua` (case-insensitive). **Цільові файли:** `.github/workflows/clean-merged-branch.yml`.
+- **`package_json_docs/`** → `abie.package_json_docs` — у кореневому `package.json` `devDependencies` має містити `@nitra/abie-docs` (presence-only, версію не фіксуємо). **Цільові файли:** `package.json`.
 
 Cross-file логіка (парність HCP↔Deployment у каталозі, обчислений `<deployment.name>-hl` для `targetRef.name`, валідація ua-overlay JSON6902 patches на HTTPRoute, env→cluster DNS, аналіз cross-namespace backendRefs у пакетах) лишається у **`check-abie.mjs`** — Rego не читає файлову систему й не робить cross-document резолюцію.

package/rules/abie/policy/package_json_docs/package_json_docs.rego

@@ -0,0 +1,16 @@
+# Перевірка кореневого `package.json` abie-проєкту: у `devDependencies` має бути
+# `@nitra/abie-docs` (контракти/схеми abie-сервісів — наприклад
+# `node_modules/@nitra/abie-docs/...`). Версію не фіксуємо — лише presence.
+#
+# Inverse-presence перевірка — лишається inline у rego (як `@nitra/cspell-dict`
+# у `text.package_json`), бо у template/ зберігаємо позитивні snippet/deny канони,
+# а не одиничний required-ключ.
+package abie.package_json_docs
+
+import rego.v1
+
+deny contains msg if {
+	dev := object.get(input, "devDependencies", {})
+	not "@nitra/abie-docs" in object.keys(dev)
+	msg := "package.json: devDependencies має містити @nitra/abie-docs — bun add -d @nitra/abie-docs (abie.mdc)"
+}

package/rules/abie/policy/package_json_docs/target.json

@@ -0,0 +1,5 @@
+{
+  "$schema": "https://unpkg.com/@nitra/cursor/schemas/target.json",
+  "files": { "single": "package.json", "required": true },
+  "missingMessage": "package.json не існує — створи його, додай devDependencies['@nitra/abie-docs'] (abie.mdc)"
+}

package/rules/efes/efes.mdc

@@ -1,7 +1,23 @@
 ---
 description: Правила для проєктів Efes (репозиторії під github.com/efes-cloud)
 alwaysApply: true
-version: '1.0'
+version: '1.1'
 ---
 
-Правило **efes** для споживачів **@nitra/cursor** у репозиторіях під **`github.com/efes-cloud/*`**. Поки що зміст правила порожній — додавайте сюди вимоги, специфічні для efes-проєктів, у міру їх появи.
+Правило **efes** для споживачів **@nitra/cursor** у репозиторіях під **`github.com/efes-cloud/*`**.
+
+## `@nitra/efes-docs` у `devDependencies`
+
+У кореневому **`package.json`** efes-проєкту в **`devDependencies`** має бути **`@nitra/efes-docs`** — пакет з канонічними контрактами/схемами efes-сервісів (зокрема використовується у `graphql.mdc` як `node_modules/@nitra/efes-docs/schema/maya.graphql`). Версію правило не фіксує — лише presence. Додати:
+
+```bash
+bun add -d @nitra/efes-docs
+```
+
+## Швидкий gate через conftest (Rego)
+
+Пер-документні перевірки efes — rego-полісі у **`npm/rules/efes/policy/`** (запускається через **`npx @nitra/cursor check efes`**; синтаксичний lint — через **`bun run lint-rego`**). Деталі шаблону — у **conftest.mdc** / **n-rego.mdc**.
+
+Пакети (директорія в **`npm/rules/efes/policy/`** → namespace → що перевіряє):
+
+- **`package_json_docs/`** → `efes.package_json_docs` — у кореневому `package.json` `devDependencies` має містити `@nitra/efes-docs` (presence-only, версію не фіксуємо). **Цільові файли:** `package.json`.

package/rules/efes/policy/package_json_docs/package_json_docs.rego

@@ -0,0 +1,16 @@
+# Перевірка кореневого `package.json` efes-проєкту: у `devDependencies` має бути
+# `@nitra/efes-docs` (контракти/схеми efes-сервісів — використовується, зокрема,
+# у `graphql.mdc` як `node_modules/@nitra/efes-docs/schema/maya.graphql`). Версію
+# не фіксуємо — лише presence.
+#
+# Inverse-presence перевірка лишається inline у rego (як `@nitra/cspell-dict`
+# у `text.package_json`).
+package efes.package_json_docs
+
+import rego.v1
+
+deny contains msg if {
+	dev := object.get(input, "devDependencies", {})
+	not "@nitra/efes-docs" in object.keys(dev)
+	msg := "package.json: devDependencies має містити @nitra/efes-docs — bun add -d @nitra/efes-docs (efes.mdc)"
+}

package/rules/efes/policy/package_json_docs/target.json

@@ -0,0 +1,5 @@
+{
+  "$schema": "https://unpkg.com/@nitra/cursor/schemas/target.json",
+  "files": { "single": "package.json", "required": true },
+  "missingMessage": "package.json не існує — створи його, додай devDependencies['@nitra/efes-docs'] (efes.mdc)"
+}

package/rules/ga/lint/lint.mjs

@@ -81,10 +81,7 @@ const CONFTEST_PREFLIGHT = {
     'Без нього не запускається пер-документна валідація через rego-полісі (npm/rules/*/policy/)',
     'у кроці check-ga — `runConftestBatch` завершується hard-fail.'
   ].join('\n   '),
-  install: [
-    'macOS:     brew install conftest',
-    'Universal: https://www.conftest.dev/install/'
-  ],
+  install: ['macOS:     brew install conftest', 'Universal: https://www.conftest.dev/install/'],
   successMsg: '✅ conftest знайдено в PATH — check-ga виконає rego-полісі через runConftestBatch'
 }
 

package/rules/image-avif/fix/avif_generation/check.mjs

@@ -3,11 +3,16 @@
  * ув'язування `.avif`-двійників з посиланнями у `.vue`/`.html`.
  *
  * Дії під час `check image-avif`:
- * 1. `npx \@nitra/minify-image --src=. --write --avif` — генерує AVIF-двійники.
- * 2. У кожному workspace-пакеті переписує raster-посилання у `.vue`/`.html` на `.avif`
+ * 1. **Pre-scan**: знайти в `.vue`/`.html` хоча б одне raster-посилання, яке потенційно
+ *    можна переписати на AVIF-двійник (через `import x from '...png'` або
+ *    `<img src="...png" />`). Пакети з opt-out `disable-avif: true` пропускаються.
+ *    Якщо жодного raster-посилання не знайдено → exit 0 одразу (`npx --avif` не запускаємо,
+ *    rewrite/cleanup-пасс теж пропускаємо — нічого не змінилось би).
+ * 2. `npx \@nitra/minify-image --src=. --write --avif` — генерує AVIF-двійники.
+ * 3. У кожному workspace-пакеті переписує raster-посилання у `.vue`/`.html` на `.avif`
  *    (де AVIF-двійник реально існує на диску). Pakety з `"\@nitra/minify-image": {
  *    "disable-avif": true }` у `package.json` пропускаються.
- * 3. Прибирає AVIF-сироти — `<name>.<ext>.avif`, на які не лишилось жодного посилання
+ * 4. Прибирає AVIF-сироти — `<name>.<ext>.avif`, на які не лишилось жодного посилання
  *    у `.vue`/`.html` репозиторію, видаляються (умова правила: «AVIF лишається лише
  *    там, де заміна вдалася»).
  *
@@ -69,7 +74,6 @@ const VUE_RASTER_STATIC_SRC_RE = /(?<![:\-_.])\bsrc\s*=\s*['"]([^'"\s]+\.(?:png|
  * є сиротами і підлягають видаленню.
  */
 const VUE_AVIF_REF_RE = /['"]([^'"\s]+\.(?:png|jpe?g|gif)\.avif)['"]/giu
-const RASTER_IMAGE_EXT_RE = /\.(?:png|jpe?g|gif)$/iu
 
 /**
  * Чи у `package.json` пакета вимкнено avif-перевірку Vue-імпортів.
@@ -279,24 +283,51 @@ async function checkVueAvifImports(ignorePaths, usedAvifAbs, stats, pass, fail)
 }
 
 /**
- * Чи є в репозиторії хоч один raster-файл, який мав би сенс конвертувати у AVIF.
- * Якщо немає — `npx \@nitra/minify-image` нема що робити, тож зайвий запуск пропускаємо
- * (важливо у тестах: фікстурні `.png`-імпорти посилаються на неіснуючі файли, тож
- * minify-image все одно нічого не згенерує — а зайвий npx-спавн повільний і робить шум).
+ * Pre-scan: чи є в `.vue`/`.html` хоча б одне raster-посилання, яке потенційно треба
+ * переписати на AVIF-двійник (через `import x from '...png'` або `<img src="...png" />`).
+ *
+ * Якщо false — весь подальший етап `image-avif` пропускаємо: ні `npx --avif`, ні rewrite,
+ * ні cleanup-сиріт не дали б ніяких змін. Сенс — не запускати дорогий `npx @nitra/minify-image`
+ * у проєктах, де AVIF не вживається (а опційно і не плануються).
+ *
+ * Скан робиться тими самими regexp-ами, що й основний rewrite-пасс (`VUE_RASTER_IMPORT_RE`
+ * + `VUE_RASTER_STATIC_SRC_RE`), і ходить лише по `.vue`/`.html` у workspace-пакетах, що НЕ
+ * мають opt-out `"@nitra/minify-image": { "disable-avif": true }` (інакше їхні шаблони ми
+ * все одно не сканували б, тож вони не мають провокувати запуск AVIF-етапу).
  * @param {string[]} ignorePaths абсолютні шляхи каталогів, повністю виключених з обходу
- * @returns {Promise<boolean>} `true`, якщо знайдено принаймні один `.png/.jpe?g/.gif`
+ * @returns {Promise<boolean>} `true`, якщо знайдено принаймні одне raster-посилання
  */
-async function hasAnyRasterImage(ignorePaths) {
-  let found = false
-  await walkDir(
-    process.cwd(),
-    absPath => {
-      if (found) return
-      if (RASTER_IMAGE_EXT_RE.test(absPath)) found = true
-    },
-    ignorePaths
-  )
-  return found
+async function hasAnyVueRasterReference(ignorePaths) {
+  const roots = await getMonorepoPackageRootDirs()
+  const absRootsByRel = new Map(roots.map(r => [r, join(process.cwd(), r)]))
+  for (const root of roots) {
+    const pkgPath = join(root, 'package.json')
+    if (existsSync(pkgPath)) {
+      const pkg = JSON.parse(await readFile(pkgPath, 'utf8'))
+      if (packageHasAvifDisabled(pkg)) continue
+    }
+    const absRoot = absRootsByRel.get(root) ?? join(process.cwd(), root)
+    const otherRootsAbs = roots.filter(r => r !== root && r !== '.').map(r => absRootsByRel.get(r) ?? '')
+    /** @type {string[]} */
+    const targetFiles = []
+    await walkDir(
+      absRoot,
+      absPath => {
+        if (!absPath.endsWith('.vue') && !absPath.endsWith('.html')) return
+        if (otherRootsAbs.some(other => absPath.startsWith(`${other}/`))) return
+        targetFiles.push(absPath)
+      },
+      ignorePaths
+    )
+    for (const absPath of targetFiles) {
+      const content = await readFile(absPath, 'utf8')
+      VUE_RASTER_IMPORT_RE.lastIndex = 0
+      if (VUE_RASTER_IMPORT_RE.test(content)) return true
+      VUE_RASTER_STATIC_SRC_RE.lastIndex = 0
+      if (VUE_RASTER_STATIC_SRC_RE.test(content)) return true
+    }
+  }
+  return false
 }
 
 /**
@@ -381,10 +412,15 @@ export async function check() {
 
   const ignorePaths = await loadCursorIgnorePaths(process.cwd())
 
-  if (await hasAnyRasterImage(ignorePaths)) {
-    runAvifGeneration()
+  if (!(await hasAnyVueRasterReference(ignorePaths))) {
+    pass(
+      'image-avif: у .vue/.html немає raster-посилань для переписування — AVIF-генерація і cleanup пропущені'
+    )
+    return reporter.getExitCode()
   }
 
+  runAvifGeneration()
+
   /** @type {Set<string>} */
   const usedAvifAbs = new Set()
   /** @type {RewriteStats} */

package/rules/image-avif/image-avif.mdc

@@ -1,17 +1,18 @@
 ---
 description: AVIF-двійники для raster-зображень з ув'язуванням у .vue/.html
-version: '1.3'
+version: '1.4'
 globs: "**/*.{png,jpg,jpeg,gif,avif,vue,html}"
 alwaysApply: false
 ---
 
-AVIF-двійники (`<name>.<ext>.avif`) генерує **виключно** `npx @nitra/cursor check image-avif` — у `lint-image` прапорець `--avif` заборонений (це валідує правило `image-compress`). Перевірка робить три кроки в порядку:
+AVIF-двійники (`<name>.<ext>.avif`) генерує **виключно** `npx @nitra/cursor check image-avif` — у `lint-image` прапорець `--avif` заборонений (це валідує правило `image-compress`). Перевірка робить чотири кроки в порядку:
 
-1. Запускає `npx @nitra/minify-image --src=. --write --avif` (≥ **3.3.1**) — генерує `<name>.<ext>.avif` поряд з кожним PNG/JPEG/GIF. CLI порівнює sha1 кожного raster-сорсу зі збереженим у `.n-minify-image.tsv` і перезаписує `<source>.avif` при зміні оригіналу.
-2. Сканує `.vue` (а також `.html`) файли в кожному workspace-пакеті (root + workspaces) і автоматично переписує raster-посилання на AVIF-двійник у двох формах:
+1. **Pre-scan**: шукає у `.vue`/`.html` хоча б одне raster-посилання, яке потенційно треба переписати на AVIF-двійник (`import x from '...png'` або `<img src="...png" />`). Пакети з opt-out `disable-avif: true` пропускаються. **Якщо жодного raster-посилання не знайдено — `check image-avif` завершується успіхом одразу: ні `npx --avif`, ні rewrite, ні cleanup-сиріт не виконуються** (нічого було б змінювати). Так уникаємо дорогого `npx @nitra/minify-image` у проєктах, де AVIF не вживається.
+2. Запускає `npx @nitra/minify-image --src=. --write --avif` (≥ **3.3.1**) — генерує `<name>.<ext>.avif` поряд з кожним PNG/JPEG/GIF. CLI порівнює sha1 кожного raster-сорсу зі збереженим у `.n-minify-image.tsv` і перезаписує `<source>.avif` при зміні оригіналу.
+3. Сканує `.vue` (а також `.html`) файли в кожному workspace-пакеті (root + workspaces) і автоматично переписує raster-посилання на AVIF-двійник у двох формах:
    - **Імпорт-пов'язані** — `import x from '...png|jpg|jpeg|gif'` (далі `:src="x"` у шаблоні);
    - **Прямі статичні** — `<img src="...png" />` у `<template>` (Vite перетворює такий шлях на asset-імпорт на етапі збірки, тож вимога та сама).
-3. Видаляє AVIF-сироти: ходить по всіх `<...>.avif` у репозиторії; якщо на двійник не лишилось жодного посилання у `.vue`/`.html` — файл видаляється. **AVIF на диску лишається лише там, де заміна реально відбулась** — тому невикористані оригінали не накопичують `.avif`-«хвости».
+4. Видаляє AVIF-сироти: ходить по всіх `<...>.avif` у репозиторії; якщо на двійник не лишилось жодного посилання у `.vue`/`.html` — файл видаляється. **AVIF на диску лишається лише там, де заміна реально відбулась** — тому невикористані оригінали не накопичують `.avif`-«хвости». **Зауваж**: cleanup виконується ЛИШЕ якщо pre-scan на кроці 1 знайшов хоча б одне raster-посилання — інакше осиротілі `.avif` залишаються недоторканими (видаляться вже наступним прогоном, коли в `.vue`/`.html` зʼявиться raster для конвертації).
 
 ```vue title="App.vue (після check image-avif)"
 <script setup>

package/rules/text/lint/lint.mjs

@@ -51,13 +51,10 @@ const SHELLCHECK_PREFLIGHT = {
 /** @type {PreflightDep} */
 const PATCH_PREFLIGHT = {
   bin: 'patch',
-  explanation: [
-    'Без `patch` не застосуються авто-виправлення shellcheck (`shellcheck -f diff` + `patch -p1`).'
-  ].join('\n   '),
-  install: [
-    'macOS:         зазвичай уже є в системі',
-    'Debian/Ubuntu: sudo apt-get install -y patch'
-  ],
+  explanation: ['Без `patch` не застосуються авто-виправлення shellcheck (`shellcheck -f diff` + `patch -p1`).'].join(
+    '\n   '
+  ),
+  install: ['macOS:         зазвичай уже є в системі', 'Debian/Ubuntu: sudo apt-get install -y patch'],
   successMsg: '✅ patch знайдено в PATH — shellcheck auto-fix працюватиме'
 }