@nitra/cursor 1.13.89 → 1.14.0

package/CHANGELOG.md

@@ -4,6 +4,33 @@
 
 Формат — [Keep a Changelog](https://keepachangelog.com/uk/1.1.0/), нумерація — [SemVer](https://semver.org/lang/uk/).
 
+## [1.14.0] - 2026-05-24
+
+### Changed (BREAKING)
+
+- **Flat концерн-лейаут:** кожен JS-концерн правила тепер один файл `npm/rules/<rule>/js/<concern>.mjs` замість вкладеного `js/<concern>/check.mjs`. Tests — у `js/tests/<concern>.test.mjs` (single) або `js/tests/<concern>/<name>.test.mjs` (multi+fixtures). Templates — у `js/templates/<concern>/`. Data (json/tsv) — у `js/data/<concern>/`. Helpers (cross-concern і concern-private) — у `<rule>/utils/<helper>.mjs` peer до `js/` (existing convention з `abie/utils/`).
+- **`JsConcern.files` removed:** один файл на concern, поле більше не потрібне. `runRule` обчислює шлях як `<rule>/js/<concern.name>.mjs`; `resolveJsCheckPath` тепер `(bundledRulesDir, ruleId, concern)` без `fileName`.
+- **`CHECK_FILENAME_RE` і `TEST_SUFFIX` removed:** discovery більше не використовує regex `check-*.mjs` — `listJsConcerns` фільтрує `*.mjs` без `.test.mjs` (підкаталоги скіпаються через `!isFile()`).
+- **`scripts/sync-claude-config.mjs::ADR_GITIGNORE_SNIPPET_REL`** змінено: `rules/adr/js/hooks/template/.gitignore.snippet` → `rules/adr/js/templates/hooks/.gitignore.snippet`.
+- **`scripts/utils/inline-template-links.mjs::TEMPLATE_SEGMENT_RE`** розширено з `/\/template\//` до `/\/templates?\//` — підтримує і `js/templates/` (нова конвенція), і `policy/<concern>/template/` (існуюча).
+
+### Breaking (для зовнішніх інтеграторів)
+
+- Каталог `npm/rules/<rule>/js/<concern>/check.mjs` тепер `npm/rules/<rule>/js/<concern>.mjs`. Tests → `js/tests/`, templates → `js/templates/`, data → `js/data/` (усе всередині `js/`); helpers → `<rule>/utils/<helper>.mjs` (peer до `js/`, як `abie/utils/`). Імпорти helpers з concern-файлів: `from '../utils/<helper>.mjs'`. Міграційний скрипт у git-історії — комміт `refactor(rules): flat layout js/<concern>.mjs (міграційний move)`.
+
+### Notes
+
+- Convention для helper-імен: namespace-префікс (`<rule>-` або `<concern>-`) робить колізії у плоскому `utils/` неможливими (як уже робить abie: `k8s-tree`, `kustomization-patches`; docker: `docker-mirror`; vue: `vue-forbidden-imports`).
+- Шпаргалка імпорт-шляхів у `.cursor/rules/scripts.mdc` (1.10 → 1.11).
+- `.cursor/rules/conftest.mdc` — алгоритм Rego-first переписаний під flat-layout.
+- Канонічні `security.mdc` і `k8s.mdc` markdown-лінки на template-файли оновлені (`./js/templates/<concern>/`).
+
+## [1.13.90] - 2026-05-24
+
+### Added
+
+- **`js-lint` 1.23 → 1.24 — конвенція `utils/` vs `lib/`:** додано секцію «Структура спільних модулів». `utils/` — низькорівневі generic helpers без домену (могли б жити окремим npm-пакетом); `lib/` — внутрішні модулі з доменним state/конфігом/side effects. Канонічні назви лише ці дві — не `shared/`, не `common/`. Дзеркало `.cursor/rules/n-js-lint.mdc` оновлено.
+
 ## [1.13.89] - 2026-05-23
 
 ### Changed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nitra/cursor",
-  "version": "1.13.89",
+  "version": "1.14.0",
   "description": "CLI для завантаження cursor-правил (префікс n-) у локальний репозиторій",
   "keywords": [
     "cli",

package/rules/abie/abie.mdc

@@ -133,7 +133,7 @@ KVCMS_URL=http://kvcms-hl.ua-apruv.svc.abie-ua.internal:8080
 
 `<namespace>` (наприклад `dev-apruv` / `ua-apruv`) — `metadata.name` цільового namespace після kustomize-overlay для відповідного середовища; `<service>` — `metadata.name` headless Service (`-hl`) того сервісу, до якого йде URL.
 
-**Перевірка `js/env_dns/check.mjs`** сканує всі `*.env` файли, basename яких збігається з `dev.env` / `ua.env` (з провідною крапкою чи без), знаходить **усі** internal URL (`http://<svc>.<ns>.svc.<dns>` — як для Hasura-ендпоінта, так і для KVCMS чи будь-якого іншого) і вимагає, щоб для кожного:
+**Перевірка `js/env_dns.mjs`** сканує всі `*.env` файли, basename яких збігається з `dev.env` / `ua.env` (з провідною крапкою чи без), знаходить **усі** internal URL (`http://<svc>.<ns>.svc.<dns>` — як для Hasura-ендпоінта, так і для KVCMS чи будь-якого іншого) і вимагає, щоб для кожного:
 
 - DNS-суфікс відповідав env: `abie-dev.internal` / `abie-ua.internal`;
 - namespace починався з `dev-` / `ua-` відповідно.
@@ -160,7 +160,7 @@ bun add -d @nitra/abie-docs
 
 ## Швидкий gate через conftest (Rego)
 
-Підмножину пер-документних правил продубльовано як rego-полісі у **`npm/rules/abie/policy/`** (запускається через **`bun run lint-rego`** для `*_test.rego` юніт-тестів і через **`npx @nitra/cursor fix abie`** для прогону по реальних YAML — деталі в **conftest.mdc** / **n-rego.mdc**). JS у **`js/<concern>/check.mjs`** authoritative — rego тільки швидкий gate для одиничного маніфеста (зокрема через IDE-розширення `tsandall.opa`).
+Підмножину пер-документних правил продубльовано як rego-полісі у **`npm/rules/abie/policy/`** (запускається через **`bun run lint-rego`** для `*_test.rego` юніт-тестів і через **`npx @nitra/cursor fix abie`** для прогону по реальних YAML — деталі в **conftest.mdc** / **n-rego.mdc**). JS у **`js/<concern>.mjs`** authoritative — rego тільки швидкий gate для одиничного маніфеста (зокрема через IDE-розширення `tsandall.opa`).
 
 Пакети (директорія в **`npm/policy/abie/`** → namespace → що перевіряє):
 
@@ -170,12 +170,12 @@ bun add -d @nitra/abie-docs
 - **`clean_merged_ignore_branches/`** → `abie.clean_merged_ignore_branches` — у workflow `.github/workflows/clean-merged-branch.yml` крок з `uses: phpdocker-io/github-actions-delete-abandoned-branches` має `with.ignore_branches`, що містить токени `dev,ua` (case-insensitive). **Цільові файли:** `.github/workflows/clean-merged-branch.yml`.
 - **`package_json_docs/`** → `abie.package_json_docs` — у кореневому `package.json` `devDependencies` має містити `@nitra/abie-docs` (presence-only, версію не фіксуємо). **Цільові файли:** `package.json`.
 
-Cross-file / FS-логіка лишається у JS-частинах (`js/<concern>/check.mjs`) — Rego не читає файлову систему й не робить cross-document резолюцію:
+Cross-file / FS-логіка лишається у JS-частинах (`js/<concern>.mjs`) — Rego не читає файлову систему й не робить cross-document резолюцію:
 
-- парність HCP↔Deployment у каталозі та modeline `hc.yaml` — `js/hc_pairing/check.mjs`;
-- валідація ua-overlay JSON6902 patches на HTTPRoute + аналіз cross-namespace `backendRefs` у пакетах — `js/ua_http_route/check.mjs`;
-- ua-overlay JSON6902 patch на `Deployment.nodeSelector` (`preem: false`) — `js/ua_node_selector/check.mjs`;
-- env→cluster DNS (`*.dev.env` / `*.ua.env`) — `js/env_dns/check.mjs`;
-- скан артефактів Firebase Hosting у підкаталогах першого рівня — `js/firebase_hosting/check.mjs`.
+- парність HCP↔Deployment у каталозі та modeline `hc.yaml` — `js/hc_pairing.mjs`;
+- валідація ua-overlay JSON6902 patches на HTTPRoute + аналіз cross-namespace `backendRefs` у пакетах — `js/ua_http_route.mjs`;
+- ua-overlay JSON6902 patch на `Deployment.nodeSelector` (`preem: false`) — `js/ua_node_selector.mjs`;
+- env→cluster DNS (`*.dev.env` / `*.ua.env`) — `js/env_dns.mjs`;
+- скан артефактів Firebase Hosting у підкаталогах першого рівня — `js/firebase_hosting.mjs`.
 
 Точна звірка `targetRef.name` HealthCheckPolicy з суфіксом `-hl` обчислюється з `hcp.metadata.name` і живе у Rego (`abie.health_check_policy`); за конвенцією `hcp.metadata.name` дорівнює `<deployment.name>`, тому окремий cross-file lookup до маніфесту Deployment не потрібен.

package/rules/abie/js/{applies/check.mjs → applies.mjs}

@@ -3,9 +3,9 @@
  * Якщо повертає `false` — CLI пропускає всі концерни (JS і policy) цього правила.
  * `check()` друкує тільки context-pass; решта концернів роблять справжню роботу.
  */
-import { createCheckReporter } from '../../../../scripts/utils/check-reporter.mjs'
+import { createCheckReporter } from '../../../scripts/utils/check-reporter.mjs'
 
-import { isAbieRuleEnabled } from '../../utils/enabled.mjs'
+import { isAbieRuleEnabled } from '../utils/enabled.mjs'
 
 /**
  * @returns {Promise<boolean>} `true` — правило застосовне; `false` — пропустити

package/rules/abie/js/{env_dns/check.mjs → env_dns.mjs}

@@ -9,10 +9,10 @@
 import { readFile } from 'node:fs/promises'
 import { basename, relative } from 'node:path'
 
-import { createCheckReporter } from '../../../../scripts/utils/check-reporter.mjs'
-import { loadCursorIgnorePaths } from '../../../../scripts/utils/load-cursor-config.mjs'
+import { createCheckReporter } from '../../../scripts/utils/check-reporter.mjs'
+import { loadCursorIgnorePaths } from '../../../scripts/utils/load-cursor-config.mjs'
 
-import { abieEnvNameFromBasename, collectAbieEnvFiles, validateAbieEnvInternalUrls } from '../../utils/env-dns.mjs'
+import { abieEnvNameFromBasename, collectAbieEnvFiles, validateAbieEnvInternalUrls } from '../utils/env-dns.mjs'
 
 /**
  * @returns {Promise<number>} результат

package/rules/abie/js/{firebase_hosting/check.mjs → firebase_hosting.mjs}

@@ -7,7 +7,7 @@ import { existsSync } from 'node:fs'
 import { readdir } from 'node:fs/promises'
 import { join } from 'node:path'
 
-import { createCheckReporter } from '../../../../scripts/utils/check-reporter.mjs'
+import { createCheckReporter } from '../../../scripts/utils/check-reporter.mjs'
 
 const SKIP_TOP_DIR_NAMES = new Set(['.git', 'node_modules'])
 

package/rules/abie/js/{hc_pairing/check.mjs → hc_pairing.mjs}

@@ -10,11 +10,11 @@ import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
 import { relative } from 'node:path'
 
-import { createCheckReporter } from '../../../../scripts/utils/check-reporter.mjs'
-import { loadCursorIgnorePaths } from '../../../../scripts/utils/load-cursor-config.mjs'
+import { createCheckReporter } from '../../../scripts/utils/check-reporter.mjs'
+import { loadCursorIgnorePaths } from '../../../scripts/utils/load-cursor-config.mjs'
 
-import { validateAbieHcModeline } from '../../utils/hc-yaml.mjs'
-import { collectDeploymentDirs, findK8sYamlFiles } from '../../utils/k8s-tree.mjs'
+import { validateAbieHcModeline } from '../utils/hc-yaml.mjs'
+import { collectDeploymentDirs, findK8sYamlFiles } from '../utils/k8s-tree.mjs'
 
 /**
  * @returns {Promise<number>} результат

package/rules/abie/js/{ua_http_route/check.mjs → ua_http_route.mjs}

@@ -10,20 +10,20 @@
 import { readFile } from 'node:fs/promises'
 import { relative } from 'node:path'
 
-import { createCheckReporter } from '../../../../scripts/utils/check-reporter.mjs'
-import { loadCursorIgnorePaths } from '../../../../scripts/utils/load-cursor-config.mjs'
+import { createCheckReporter } from '../../../scripts/utils/check-reporter.mjs'
+import { loadCursorIgnorePaths } from '../../../scripts/utils/load-cursor-config.mjs'
 
-import { analyzeAbieSharedBackendRefsInPackageK8s } from '../../utils/http-route.mjs'
-import { findK8sYamlFiles } from '../../utils/k8s-tree.mjs'
+import { analyzeAbieSharedBackendRefsInPackageK8s } from '../utils/http-route.mjs'
+import { findK8sYamlFiles } from '../utils/k8s-tree.mjs'
 import {
   getCombinedNginxRunPatchTextFromKustomization,
   validateAbieNginxRunHttpRoutePatches
-} from '../../utils/kustomization-patches.mjs'
+} from '../utils/kustomization-patches.mjs'
 import {
   abiePackageDirFromK8sOverlay,
   abieOverlayRequiresHttpRouteByVite,
   isUaKustomizationPath
-} from '../../utils/overlay-paths.mjs'
+} from '../utils/overlay-paths.mjs'
 
 /**
  * @returns {Promise<number>} результат

package/rules/abie/js/{ua_node_selector/check.mjs → ua_node_selector.mjs}

@@ -8,12 +8,12 @@
 import { readFile } from 'node:fs/promises'
 import { relative } from 'node:path'
 
-import { createCheckReporter } from '../../../../scripts/utils/check-reporter.mjs'
-import { loadCursorIgnorePaths } from '../../../../scripts/utils/load-cursor-config.mjs'
+import { createCheckReporter } from '../../../scripts/utils/check-reporter.mjs'
+import { loadCursorIgnorePaths } from '../../../scripts/utils/load-cursor-config.mjs'
 
-import { collectDeploymentDirs, findK8sYamlFiles } from '../../utils/k8s-tree.mjs'
-import { kustomizationHasAbieDeploymentNodeSelectorPatch } from '../../utils/kustomization-patches.mjs'
-import { abieOverlayK8sTreeHasDeployment, isUaKustomizationPath } from '../../utils/overlay-paths.mjs'
+import { collectDeploymentDirs, findK8sYamlFiles } from '../utils/k8s-tree.mjs'
+import { kustomizationHasAbieDeploymentNodeSelectorPatch } from '../utils/kustomization-patches.mjs'
+import { abieOverlayK8sTreeHasDeployment, isUaKustomizationPath } from '../utils/overlay-paths.mjs'
 
 /**
  * @returns {Promise<number>} результат

package/rules/abie/policy/base_deployment_preem/base_deployment_preem.rego

@@ -2,7 +2,7 @@
 # `spec.template.spec.nodeSelector.preem` зі значенням, що вважається істинним
 # (boolean `true` або рядок `"true"` без урахування регістру). Overlay ua далі
 # підміняє селектор JSON6902-патчем на `preem: false`
-# (див. `js/ua_node_selector/check.mjs`).
+# (див. `js/ua_node_selector.mjs`).
 #
 # Запуск (локально, лише для одного base-YAML з Deployment):
 #   conftest test path/to/k8s/base/deployment.yaml \
@@ -11,7 +11,7 @@
 #
 # Cross-file gating: шлях `…/k8s/.../base/…` фільтрується через
 # `policy/base_deployment_preem/target.json` (glob). Rule-level applies-гейт —
-# `js/applies/check.mjs` (поле `rules` у `.n-cursor.json`).
+# `js/applies.mjs` (поле `rules` у `.n-cursor.json`).
 #
 # Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
 # Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`

package/rules/abie/policy/health_check_policy/health_check_policy.rego

@@ -18,8 +18,8 @@
 #
 # Cross-file gating: glob по `hc.yaml` у k8s-дереві — у
 # `policy/health_check_policy/target.json`. FS-парність HCP↔Deployment та
-# modeline `hc.yaml` — `js/hc_pairing/check.mjs`. Rule-level applies-гейт —
-# `js/applies/check.mjs`.
+# modeline `hc.yaml` — `js/hc_pairing.mjs`. Rule-level applies-гейт —
+# `js/applies.mjs`.
 #
 # Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
 # Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`

package/rules/abie/policy/http_route_base/http_route_base.rego

@@ -8,7 +8,7 @@
 #
 # Cross-file gating (саме шлях `…/k8s/.../base/...` визначає, чи застосовувати
 # правило) задає glob у `policy/http_route_base/target.json`. Тут — лише
-# валідація вмісту `spec.hostnames`. Rule-level applies-гейт — `js/applies/check.mjs`.
+# валідація вмісту `spec.hostnames`. Rule-level applies-гейт — `js/applies.mjs`.
 #
 # Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
 # Конвенція проєкту — `import rego.v1` + multi-value `deny contains msg if { … }`

package/rules/abie/utils/enabled.mjs

@@ -1,6 +1,6 @@
 /**
  * Rule-level applies-гейт abie: чи `.n-cursor.json:rules` містить `abie`.
- * Використовується `js/applies/check.mjs` як `applies()`-експорт — якщо false,
+ * Використовується `js/applies.mjs` як `applies()`-експорт — якщо false,
  * CLI пропускає всі концерни правила (включно з policy).
  */
 import { existsSync } from 'node:fs'

package/rules/abie/utils/k8s-tree.mjs

@@ -8,7 +8,7 @@
  */
 import { dirname, relative } from 'node:path'
 
-import { pathHasK8sSegment } from '../../k8s/js/manifests/check.mjs'
+import { pathHasK8sSegment } from '../../k8s/js/manifests.mjs'
 import { walkDir } from '../../../scripts/utils/walkDir.mjs'
 import { isDeploymentDoc, readAndParseYamlDocs } from './yaml.mjs'
 

package/rules/adr/js/{hooks/check.mjs → hooks.mjs}

@@ -24,7 +24,7 @@ import { delimiter, dirname, join } from 'node:path'
 import { env } from 'node:process'
 import { fileURLToPath } from 'node:url'
 
-import { createCheckReporter } from '../../../../scripts/utils/check-reporter.mjs'
+import { createCheckReporter } from '../../../scripts/utils/check-reporter.mjs'
 
 /** Один hook-артефакт: bash-скрипт + його лог-файл, які перевіряємо однотипно. */
 const HOOK_ARTIFACTS = /** @type {const} */ ([

package/rules/bun/js/{layout/check.mjs → layout.mjs}

@@ -20,7 +20,7 @@
 import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
 
-import { createCheckReporter } from '../../../../scripts/utils/check-reporter.mjs'
+import { createCheckReporter } from '../../../scripts/utils/check-reporter.mjs'
 
 /** Розділювач токенів у `scripts.lint` (послідовність пробільних символів). */
 const WHITESPACE_RE = /\s+/u

package/rules/capacitor/js/{platforms/check.mjs → platforms.mjs}

@@ -25,7 +25,7 @@ import { existsSync } from 'node:fs'
 import { readdir, readFile } from 'node:fs/promises'
 import { join, relative } from 'node:path'
 
-import { createCheckReporter } from '../../../../scripts/utils/check-reporter.mjs'
+import { createCheckReporter } from '../../../scripts/utils/check-reporter.mjs'
 
 /** Мінімальна допустима мажорна версія Capacitor (capacitor.mdc) */
 const MIN_CAPACITOR_MAJOR = 8

package/rules/changelog/changelog.mdc

@@ -43,7 +43,7 @@ alwaysApply: true
 
 **Вимагають bump + нову секцію CHANGELOG** — усі інші зміни в каталозі workspace (код, rego, правила, скіли, конфіги, тести тощо). Виняток `.cursor/` / `.claude/` **не** поширюється на джерело правил у репо `@nitra/cursor` — воно лежить під `npm/`, тож зміни в ньому далі вимагають bump.
 
-Перевірка програмна (`changelog/js/consistency/check.mjs`).
+Перевірка програмна (`changelog/js/consistency.mjs`).
 
 ## Дві моделі бази порівняння
 

package/rules/changelog/js/{consistency/check.mjs → consistency.mjs}

@@ -22,13 +22,13 @@ import { readFile } from 'node:fs/promises'
 import { join } from 'node:path'
 import { promisify } from 'node:util'
 
-import { createCheckReporter } from '../../../../scripts/utils/check-reporter.mjs'
+import { createCheckReporter } from '../../../scripts/utils/check-reporter.mjs'
 import {
   getMonorepoProjectRootDirs,
   manifestFilePath,
   parsePyprojectFields,
   readPackageManifest
-} from './package-manifest.mjs'
+} from '../utils/package-manifest.mjs'
 
 const execFileAsync = promisify(execFile)
 

package/rules/changelog/{js/consistency → utils}/package-manifest.mjs

@@ -8,7 +8,7 @@ import { dirname, join, relative } from 'node:path'
 
 import { parse as parseToml } from 'smol-toml'
 
-import { getMonorepoPackageRootDirs, isIgnoredWorkspaceRoot } from '../../../../scripts/utils/workspaces.mjs'
+import { getMonorepoPackageRootDirs, isIgnoredWorkspaceRoot } from '../../../scripts/utils/workspaces.mjs'
 
 /**
  * @typedef {'npm' | 'python'} PackageKind

package/rules/docker/js/{lint/check.mjs → lint.mjs}

@@ -30,11 +30,11 @@
 import { readFile } from 'node:fs/promises'
 import { basename } from 'node:path'
 
-import { getMirrorGcrHint, getFromImageToken } from './docker-mirror.mjs'
-import { lintDockerfileWithHadolint, posixRel } from './docker-hadolint.mjs'
-import { createCheckReporter } from '../../../../scripts/utils/check-reporter.mjs'
-import { loadCursorIgnorePaths } from '../../../../scripts/utils/load-cursor-config.mjs'
-import { walkDir } from '../../../../scripts/utils/walkDir.mjs'
+import { getMirrorGcrHint, getFromImageToken } from '../utils/docker-mirror.mjs'
+import { lintDockerfileWithHadolint, posixRel } from '../utils/docker-hadolint.mjs'
+import { createCheckReporter } from '../../../scripts/utils/check-reporter.mjs'
+import { loadCursorIgnorePaths } from '../../../scripts/utils/load-cursor-config.mjs'
+import { walkDir } from '../../../scripts/utils/walkDir.mjs'
 
 const NEWLINE_RE = /\r?\n/
 const BUN_INSTALL_RE = /\bbun\s+(?:install|i)\b/iu

package/rules/docker/lint/lint.mjs

@@ -13,7 +13,7 @@
 import { basename } from 'node:path'
 
 import { isRunAsCli } from '../../../scripts/cli-entry.mjs'
-import { lintDockerfileWithHadolint, posixRel } from '../js/lint/docker-hadolint.mjs'
+import { lintDockerfileWithHadolint, posixRel } from '../utils/docker-hadolint.mjs'
 import { createCheckReporter } from '../../../scripts/utils/check-reporter.mjs'
 import { loadCursorIgnorePaths } from '../../../scripts/utils/load-cursor-config.mjs'
 import { walkDir } from '../../../scripts/utils/walkDir.mjs'

package/rules/docker/{js/lint → utils}/docker-hadolint.mjs

@@ -8,7 +8,7 @@
 import { spawnSync } from 'node:child_process'
 import { relative, sep } from 'node:path'
 
-import { resolveCmd } from '../../../../scripts/utils/resolve-cmd.mjs'
+import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
 
 /** Тег образу для резервного запуску (узгоджуй з docker.mdc). */
 export const HADOLINT_IMAGE = 'hadolint/hadolint:v2.12.0'

package/rules/feedback/feedback.mdc

@@ -17,7 +17,7 @@ version: '1.0'
 **Тертя** — усе, що ускладнило роботу скілу й стосується самого пакета `@nitra/cursor`, а не коду користувацького проєкту:
 
 - неоднозначна чи неповна інструкція в `SKILL.md` або `.mdc`;
-- правило вимагає поведінку, яку можна перевірити програмно, але програмної перевірки (`rules/<id>/js/<concern>/check.mjs` або `rules/<id>/policy/<concern>/*.rego`) для неї немає;
+- правило вимагає поведінку, яку можна перевірити програмно, але програмної перевірки (`rules/<id>/js/<concern>.mjs` або `rules/<id>/policy/<concern>/*.rego`) для неї немає;
 - хибне спрацювання перевірки (false positive);
 - порушення, яке правило вимагає виправляти вручну, хоча реальний автофікс можливий;
 - повторюваний патерн, який варто закодувати в правило чи скіл.

package/rules/ga/js/{workflows/check.mjs → workflows.mjs}

@@ -20,11 +20,11 @@ import { execFileSync } from 'node:child_process'
 import { basename, dirname, join } from 'node:path'
 import { fileURLToPath } from 'node:url'
 
-import { createCheckReporter } from '../../../../scripts/utils/check-reporter.mjs'
-import { eventPathsIncludeExact, parseWorkflowYaml } from '../../../../scripts/utils/gha-workflow.mjs'
-import { resolveCmd } from '../../../../scripts/utils/resolve-cmd.mjs'
-import { runConftestBatch } from '../../../../scripts/utils/run-conftest-batch.mjs'
-import { loadTemplate } from '../../../../scripts/utils/template.mjs'
+import { createCheckReporter } from '../../../scripts/utils/check-reporter.mjs'
+import { eventPathsIncludeExact, parseWorkflowYaml } from '../../../scripts/utils/gha-workflow.mjs'
+import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
+import { runConftestBatch } from '../../../scripts/utils/run-conftest-batch.mjs'
+import { loadTemplate } from '../../../scripts/utils/template.mjs'
 
 const HERE = dirname(fileURLToPath(import.meta.url))
 const GA_POLICY_DIR = join(HERE, '..', '..', 'policy')

package/rules/ga/lint/lint.mjs

@@ -29,7 +29,7 @@
  */
 import { platform } from 'node:process'
 
-import { check as checkGa } from '../js/workflows/check.mjs'
+import { check as checkGa } from '../js/workflows.mjs'
 import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
 import { runLintStep } from '../../../scripts/utils/run-lint-step.mjs'
 import { runStandardLint } from '../../../scripts/utils/run-standard-lint.mjs'

package/rules/graphql/js/{tooling/check.mjs → tooling.mjs}

@@ -10,15 +10,15 @@ import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
 import { relative } from 'node:path'
 
-import { createCheckReporter } from '../../../../scripts/utils/check-reporter.mjs'
+import { createCheckReporter } from '../../../scripts/utils/check-reporter.mjs'
 import {
   isGqlScanSourceFile,
   shouldSkipFileForGqlScan,
   sourceFileHasGqlTaggedTemplate
-} from './graphql-gql-scan.mjs'
-import { loadCursorIgnorePaths } from '../../../../scripts/utils/load-cursor-config.mjs'
-import { runConftestBatch } from '../../../../scripts/utils/run-conftest-batch.mjs'
-import { walkDir } from '../../../../scripts/utils/walkDir.mjs'
+} from '../utils/graphql-gql-scan.mjs'
+import { loadCursorIgnorePaths } from '../../../scripts/utils/load-cursor-config.mjs'
+import { runConftestBatch } from '../../../scripts/utils/run-conftest-batch.mjs'
+import { walkDir } from '../../../scripts/utils/walkDir.mjs'
 
 /** Очікуваний файл GraphQL Config у корені (graphql.mdc). */
 export const GRAPHQL_RC_FILENAME = '.graphqlrc.yml'

package/rules/hasura/js/{internal_urls/check.mjs → internal_urls.mjs}

@@ -28,10 +28,10 @@ import { basename, join, relative } from 'node:path'
 
 import { parseAllDocuments } from 'yaml'
 
-import { getRepositoryUrl } from '../../../../scripts/auto-rules.mjs'
-import { createCheckReporter } from '../../../../scripts/utils/check-reporter.mjs'
-import { loadCursorIgnorePaths } from '../../../../scripts/utils/load-cursor-config.mjs'
-import { walkDir } from '../../../../scripts/utils/walkDir.mjs'
+import { getRepositoryUrl } from '../../../scripts/auto-rules.mjs'
+import { createCheckReporter } from '../../../scripts/utils/check-reporter.mjs'
+import { loadCursorIgnorePaths } from '../../../scripts/utils/load-cursor-config.mjs'
+import { walkDir } from '../../../scripts/utils/walkDir.mjs'
 
 const NITRA_REPOSITORY_URL_MARKER = 'https://github.com/nitra/'
 const ABIE_REPOSITORY_URL_MARKER = 'https://github.com/abinbevefes/'

package/rules/hasura/policy/svc_hl/svc_hl.rego

@@ -8,7 +8,7 @@
 #   conftest test hasura/k8s/base/svc-hl.yaml -p npm/rules/hasura/policy/svc_hl \
 #     --namespace hasura.svc_hl
 #
-# Cross-file (`HASURA_GRAPHQL_ENDPOINT` ↔ YAML) — `js/internal_urls/check.mjs`.
+# Cross-file (`HASURA_GRAPHQL_ENDPOINT` ↔ YAML) — `js/internal_urls.mjs`.
 package hasura.svc_hl
 
 import rego.v1

package/rules/image-avif/js/{avif_generation/check.mjs → avif_generation.mjs}

@@ -30,11 +30,11 @@ import { join, relative } from 'node:path'
 import { spawnSync } from 'node:child_process'
 import { env } from 'node:process'
 
-import { createCheckReporter } from '../../../../scripts/utils/check-reporter.mjs'
-import { loadCursorIgnorePaths } from '../../../../scripts/utils/load-cursor-config.mjs'
-import { resolveCmd } from '../../../../scripts/utils/resolve-cmd.mjs'
-import { walkDir } from '../../../../scripts/utils/walkDir.mjs'
-import { getMonorepoPackageRootDirs } from '../../../../scripts/utils/workspaces.mjs'
+import { createCheckReporter } from '../../../scripts/utils/check-reporter.mjs'
+import { loadCursorIgnorePaths } from '../../../scripts/utils/load-cursor-config.mjs'
+import { resolveCmd } from '../../../scripts/utils/resolve-cmd.mjs'
+import { walkDir } from '../../../scripts/utils/walkDir.mjs'
+import { getMonorepoPackageRootDirs } from '../../../scripts/utils/workspaces.mjs'
 
 /** Імʼя CLI-пакета, який генерує AVIF. */
 const MINIFY_PACKAGE_NAME = '@nitra/minify-image'

package/rules/image-compress/js/{package_setup/check.mjs → package_setup.mjs}

@@ -19,7 +19,7 @@
 import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
 
-import { createCheckReporter } from '../../../../scripts/utils/check-reporter.mjs'
+import { createCheckReporter } from '../../../scripts/utils/check-reporter.mjs'
 
 /** Імʼя committed-кешу (sha1 + originalSize + size) у `@nitra/minify-image` ≥ 3.2.0. */
 const HASH_CACHE_FILENAME = '.n-minify-image.tsv'

package/rules/js-bun-db/js/{safety/check.mjs → safety.mjs}

@@ -33,7 +33,7 @@ import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
 import { join, relative } from 'node:path'
 
-import { createCheckReporter } from '../../../../scripts/utils/check-reporter.mjs'
+import { createCheckReporter } from '../../../scripts/utils/check-reporter.mjs'
 import {
   findBunSqlPerRequestConnectionInText,
   findBunSqlPgLeftoverCallInText,
@@ -48,10 +48,10 @@ import {
   isBunSqlScanSourceFile,
   textHasBunSqlImport,
   textHasPgLibImport
-} from './bun-sql-scan.mjs'
-import { findAllPackageJsonPaths } from '../../../../scripts/utils/find-package-json-paths.mjs'
-import { loadCursorIgnorePaths } from '../../../../scripts/utils/load-cursor-config.mjs'
-import { walkDir } from '../../../../scripts/utils/walkDir.mjs'
+} from '../utils/bun-sql-scan.mjs'
+import { findAllPackageJsonPaths } from '../../../scripts/utils/find-package-json-paths.mjs'
+import { loadCursorIgnorePaths } from '../../../scripts/utils/load-cursor-config.mjs'
+import { walkDir } from '../../../scripts/utils/walkDir.mjs'
 
 // Дешеві pre-filter regex'и для AST-сканера LISTEN/NOTIFY: уникаємо парсингу
 // файлів, у яких ніяких сигналів немає. Винесено в модульний скоуп, щоб не

package/rules/js-bun-db/{js/safety → utils}/bun-sql-scan.mjs

@@ -27,7 +27,7 @@ import {
   parseProgramOrNull,
   templateQuasisText,
   walkAstWithAncestors
-} from '../../../../scripts/utils/ast-scan-utils.mjs'
+} from '../../../scripts/utils/ast-scan-utils.mjs'
 
 const SOURCE_FILE_RE = /\.([cm]?[jt]sx?)$/u
 const BUN_SQL_IMPORT_RE = /\bimport\s*\{[\s\S]*?\b(sql|SQL)\b[\s\S]*?\}\s*from\s*["']bun["']/u

package/rules/js-bun-redis/js/{imports/check.mjs → imports.mjs}

@@ -14,14 +14,14 @@ import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
 import { join, relative } from 'node:path'
 
-import { createCheckReporter } from '../../../../scripts/utils/check-reporter.mjs'
-import { loadCursorIgnorePaths } from '../../../../scripts/utils/load-cursor-config.mjs'
+import { createCheckReporter } from '../../../scripts/utils/check-reporter.mjs'
+import { loadCursorIgnorePaths } from '../../../scripts/utils/load-cursor-config.mjs'
 import {
   findRedisImportsInText,
   isRedisScanSourceFile,
   shouldSkipFileForRedisScan
-} from '../../../../scripts/utils/redis-imports.mjs'
-import { walkDir } from '../../../../scripts/utils/walkDir.mjs'
+} from '../../../scripts/utils/redis-imports.mjs'
+import { walkDir } from '../../../scripts/utils/walkDir.mjs'
 
 /**
  * Збирає абсолютні шляхи JS/TS джерел у репозиторії для скану заборонених redis-імпортів.

package/rules/js-bun-redis/policy/package_json/package_json.rego

@@ -3,7 +3,7 @@
 # Канон надходить через --data: { "template": { "deny": ... } }
 # Структура --data сформована з template/package.json.deny.json.
 # AST-скан коду (`import`/`require`/dynamic `import()` тих самих пакетів)
-# лишається у `js-bun-redis/js/imports/check.mjs`.
+# лишається у `js-bun-redis/js/imports.mjs`.
 package js_bun_redis.package_json
 
 import rego.v1

package/rules/js-lint/js/{tooling/check.mjs → tooling.mjs}

@@ -2,7 +2,7 @@
  * Перевіряє лінт JavaScript за правилом js-lint.mdc.
  *
  * Flat ESLint з getConfig і ignore для auto-imports,
- * `.oxlintrc.json` має збігатися з каноном oxlint у пакеті (`npm/rules/js-lint/js/tooling/oxlint-canonical.json`):
+ * `.oxlintrc.json` має збігатися з каноном oxlint у пакеті (`npm/rules/js-lint/js/data/tooling/oxlint-canonical.json`):
  * plugins, jsPlugins, categories, усі правила з канону (додаткові записи в `rules` дозволені), settings, env,
  * globals, ignorePatterns. Також перевіряє workspace `package.json` на `type: "module"`
  * і `engines`, workflow-дубль у `lint.yml`, `knip.json` autofill і застарілі `.eslintrc*`.
@@ -15,17 +15,21 @@ import { copyFile, readFile } from 'node:fs/promises'
 import { dirname, join } from 'node:path'
 import { fileURLToPath } from 'node:url'
 
-import { createCheckReporter } from '../../../../scripts/utils/check-reporter.mjs'
+import { createCheckReporter } from '../../../scripts/utils/check-reporter.mjs'
 
 /** Шлях до канонічного oxlint JSON у цьому пакеті (для перевірки та тестів). */
 export const OXLINT_CANONICAL_JSON_PATH = join(
   dirname(fileURLToPath(import.meta.url)),
+  'data',
+  'tooling',
   'oxlint-canonical.json'
 )
 
 /** Шлях до канонічного knip JSON у цьому пакеті — копіюється у корінь проєкту-споживача, якщо відсутній. */
 export const KNIP_CANONICAL_JSON_PATH = join(
   dirname(fileURLToPath(import.meta.url)),
+  'data',
+  'tooling',
   'knip-canonical.json'
 )
 
@@ -154,7 +158,7 @@ export function verifyOxlintRcAgainstCanonical(cfg, canonical) {
 
     if (!deepEqualOxlintCanonical(actual, expected)) {
       failures.push(
-        `.oxlintrc.json: поле "${key}" має збігатися з каноном пакета @nitra/cursor (npm/rules/js-lint/js/tooling/oxlint-canonical.json)`
+        `.oxlintrc.json: поле "${key}" має збігатися з каноном пакета @nitra/cursor (npm/rules/js-lint/js/data/tooling/oxlint-canonical.json)`
       )
     }
   }
@@ -384,7 +388,7 @@ async function checkKnipConfig(passFn, failFn) {
     return
   }
   await copyFile(KNIP_CANONICAL_JSON_PATH, 'knip.json')
-  passFn('knip.json створено з канонічного npm/rules/js-lint/js/tooling/knip-canonical.json (js-lint.mdc)')
+  passFn('knip.json створено з канонічного npm/rules/js-lint/js/data/tooling/knip-canonical.json (js-lint.mdc)')
 }
 
 /**