@nitra/cursor 1.32.0 → 1.35.1

package/CHANGELOG.md

@@ -1,9 +1,50 @@
 # Changelog
 
+## [1.35.1] - 2026-05-30
+
+### Added
+
+- Нові тести для підвищення coverage: run-dotenv-linter (spawnSync error paths), lint.mjs preflight-OK paths, ua_http_route.mjs (default cwd + readFile chmod-fail), auto-rules.mjs (readdir/JSON catch-блоки), run-shellcheck-errors, run-v8r, sync-claude-config, test-helpers absolute-path guard, rename-yaml-extensions sort, graphql langFromPath, capacitor segmentMinMajor, coverage-classify cache/retry/fallback, npm-module package_structure, changelog consistency, bun-sql-scan BinaryExpression. Lines coverage: ~83.59% → 88.32%.
+
+## [1.35.0] - 2026-05-30
+
+### Added
+
+- LLM-класифікатор survived мутантів у n-cursor coverage: для кожного survived Claude Sonnet 4.6 виносить verdict (worth-testing/equivalent/defensive/glue/wrapper) з reasoning + confidence. Allowed gaps виключаються з знаменника mutation score. Cache по git-blob-hash. Graceful skip без API key. Threshold у .n-cursor.json#coverage.classifyConfidenceThreshold (default 1.1 — rollout mode).
+
+## [1.34.1] - 2026-05-30
+
+### Added
+
+- Нові тест-файли (10 файлів, 108+ тестів): rules/abie/js/tests/ (firebase_hosting, env_dns, hc_pairing, ua_node_selector, ua_http_route), rules/abie/lib/tests/hc-yaml.test.mjs, rules/abie/lib/tests/k8s-tree.test.mjs, rules/docker/lib/tests/docker-hadolint.test.mjs, rules/docker/lint/tests/lint.test.mjs, scripts/tests/coverage-fix.test.mjs; розширено scripts/tests/upgrade-nitra-cursor-and-install.test.mjs. Lines coverage: 77.62% → 78.80%, Functions: 84.47% → 86.13%.
+
+### Changed
+
+- coverage: не додавати підсумковий рядок "Разом" коли провайдер один (дублював би єдиний рядок)
+
 Усі помітні зміни цього модуля документуються тут.
 
 Формат — [Keep a Changelog](https://keepachangelog.com/uk/1.1.0/), нумерація — [SemVer](https://semver.org/lang/uk/).
 
+## [1.34.0] - 2026-05-30
+
+### Added
+
+- Тести для `bun-sql-scan.mjs`: `findPgFormatShimDefinitionInText`, `findPgFormatLikeQueryWrapperInText`, `findUnsafeBunSqlInListMissingEmptyGuardInText`, `findPgListenNotifyUsageInText`
+- Тести для `capacitor/platforms.mjs`: semver edge-cases, `recordCapacitorFromOnePackageJson`, `collectCapacitorDataFromAllPackageJson`, nitra-exceptions via config files
+- Тести для `ga/workflows.mjs`: no .github/workflows dir, .yaml extension, MegaLinter detection, apply-k8s paths trigger
+- Тести для `nginx-default-tpl/template.mjs` і `vue/packages.mjs` через check-rule-fixtures.test.mjs
+
+## [1.33.0] - 2026-05-30
+
+### Added
+
+- `n-cursor change` / `n-cursor release` — change-файли `<ws>/.changes/*.md` замість ручного bump/CHANGELOG; реліз агрегує їх у CI, ставить git-тег `<name>@<version>`. Підтримка npm і Python workspace.
+
+### Changed
+
+- `n-changelog.mdc` v3.0: feature-флоу кладе change-файл; `fix changelog` приймає change-файл або ручний bump.
+
 ## [1.32.0] - 2026-05-30
 
 ### Added

package/bin/n-cursor.js

@@ -1501,6 +1501,18 @@ try {
 
       break
     }
+    case 'change': {
+      const { runChangeCli } = await import('../rules/release/change.mjs')
+      process.exitCode = await runChangeCli(args)
+
+      break
+    }
+    case 'release': {
+      const { runReleaseCli } = await import('../rules/release/release.mjs')
+      process.exitCode = await runReleaseCli(args)
+
+      break
+    }
     case 'skill': {
       process.exitCode = runSkillsCli(args)
 
@@ -1515,7 +1527,7 @@ try {
     default: {
       console.error(`❌ Невідома команда: ${command}`)
       console.error(
-        `   Очікується: (без аргументів) синхронізація правил, check, rename-yaml-extensions, post-tool-use-fix, lint, lint-ga, lint-rego, lint-k8s, lint-docker, lint-text, coverage, skill`
+        `   Очікується: (без аргументів) синхронізація правил, check, rename-yaml-extensions, post-tool-use-fix, lint, lint-ga, lint-rego, lint-k8s, lint-docker, lint-text, coverage, change, release, skill`
       )
       process.exitCode = 1
     }

package/github-actions/release/action.yml

@@ -0,0 +1,9 @@
+name: n-cursor release
+description: Aggregate .changes/* into version bump + CHANGELOG, tag <name>@<version>, commit back
+
+runs:
+  using: composite
+  steps:
+    - name: Release (bump + CHANGELOG + tag)
+      shell: bash
+      run: npx @nitra/cursor release

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nitra/cursor",
-  "version": "1.32.0",
+  "version": "1.35.1",
   "description": "CLI для завантаження cursor-правил (префікс n-) у локальний репозиторій",
   "keywords": [
     "cli",
@@ -52,11 +52,12 @@
   },
   "dependencies": {
     "@anthropic-ai/claude-agent-sdk": "^0.3.0",
-    "@anthropic-ai/sdk": "^0.54.0",
+    "@anthropic-ai/sdk": "^0.100.1",
     "oxc-parser": "^0.128.0",
     "picomatch": "^4.0.4",
     "smol-toml": "^1.6.1",
-    "yaml": "^2.8.3"
+    "yaml": "^2.8.3",
+    "zod": "^4.4.3"
   },
   "engines": {
     "bun": ">=1.3",

package/rules/changelog/changelog.mdc

@@ -1,6 +1,6 @@
 ---
 description: CHANGELOG.md в кожному workspace, з двома моделями бази порівняння (npm і Python)
-version: '2.6'
+version: '3.1'
 alwaysApply: true
 ---
 
@@ -8,13 +8,13 @@ alwaysApply: true
 
 > **Якщо в цій сесії ти змінив(ла) файли в пакетному workspace** (код, rego, правила, скіли, скрипти, конфіги, тести — **не** лише `docs/` / `doc/`) — **не завершуй задачу**, поки не виконаєш **усі три** кроки нижче в **тому ж** наборі змін. Це не «опційно після синку» — це частина PR.
 
-1. **`version`** у `<ws>/package.json` (або `[project].version` у `pyproject.toml`) → **patch +1** відносно `git show HEAD:<ws>/package.json`, якщо ще не піднято.
-2. **`CHANGELOG.md`** того workspace → **нова** секція `## [версія] - YYYY-MM-DD` **зверху** (не bullet-и в стару версію).
-3. **`npx @nitra/cursor fix changelog`** (у репо `@nitra/cursor`: `bun ./npm/bin/n-cursor.js check changelog`) → exit **`0`**.
+1. **Поклади change-файл** `<ws>/.changes/<timestamp>-<rand>.md` з frontmatter `bump:` (`major|minor|patch`) + `section:` (`Added|Changed|Fixed|Removed`) і текстом опису. Команда: `npx @nitra/cursor change --bump <…> --section <…> --message "<…>" [--ws <шлях>]`.
+2. **Ніколи** не редагуй `version` і `CHANGELOG.md` вручну — навіть для hotfix. Єдиний артефакт зміни — change-файл; `version`/CHANGELOG формує `n-cursor release` у CI на `main` (агрегує change-файли, ставить git-тег `<name>@<version>`). Будь-яка зміна `version` поза CI (drift від бази чи опублікованої) завалює `check changelog` — навіть якщо поряд є change-файл.
+3. **`npx @nitra/cursor fix changelog`** → exit **`0`** (достатньо наявності change-файлу; `version` лишається незмінним).
 
 **Тригер шляхів (приклади):** `npm/**`, `packages/foo/**`, будь-який каталог з власним `package.json` / `pyproject.toml`, куди потрапили правки.
 
-**Інверсія (bump не потрібен):** лише `docs/` / `doc/`; синхронізований із `@nitra/cursor` інструментарій (`.cursor/`, `.claude/`); лише `.gitignore`; лише сам релізний крок (`CHANGELOG.md` + `version`). **Корінь монорепо** (воркспейс `.` за наявності підпакетів) не перевіряється взагалі — отже й кореневі `AGENTS.md` / `CLAUDE.md` та bump `@nitra/cursor` у `devDependencies`.
+**Інверсія (change-файл не потрібен):** лише `docs/` / `doc/`; синхронізований із `@nitra/cursor` інструментарій (`.cursor/`, `.claude/`); лише `.gitignore`. **Корінь монорепо** (воркспейс `.` за наявності підпакетів) не перевіряється взагалі — отже й кореневі `AGENTS.md` / `CLAUDE.md` та bump `@nitra/cursor` у `devDependencies`. Окремого «релізного кроку» у feature-флоу немає — `version`/`CHANGELOG.md` змінює лише CI.
 
 **Pre-commit (людина):** `hk` у цьому репо також запускає `check changelog` при змінах під `npm/**` — агент не покладайся лише на commit hook; виконай кроки 1–3 **до** фінальної відповіді.
 
@@ -33,15 +33,14 @@ alwaysApply: true
 
 Повний алгоритм — у блоці **STOP** вище; тут лише уточнення.
 
-**Інверсія (за замовчуванням не вимагають bump/CHANGELOG):**
+**Інверсія (за замовчуванням не вимагають change-файлу):**
 
 - зміни **лише** під `docs/` або `doc/`;
 - синхронізований із `@nitra/cursor` інструментарій під `.cursor/` (канонічні правила та скіли) і `.claude/` (ADR-хуки) — це дзеркало tooling-пакета, а не логіка воркспейсу;
 - будь-які зміни в **корені монорепо** (воркспейс `.` за наявності підпакетів) — корінь веде glue/конфіг/tooling, власного CHANGELOG не має; помітні зміни документують підпакети. Сюди потрапляють і кореневі `AGENTS.md` / `CLAUDE.md`, і bump `@nitra/cursor` у `devDependencies`;
-- файли під **`.gitignore`**;
-- правки **лише** `CHANGELOG.md` або поля `version` у маніфесті як сам релізний крок.
+- файли під **`.gitignore`**.
 
-**Вимагають bump + нову секцію CHANGELOG** — усі інші зміни в каталозі workspace (код, rego, правила, скіли, конфіги, тести тощо). Виняток `.cursor/` / `.claude/` **не** поширюється на джерело правил у репо `@nitra/cursor` — воно лежить під `npm/`, тож зміни в ньому далі вимагають bump.
+**Вимагають change-файл** — усі інші зміни в каталозі workspace (код, rego, правила, скіли, конфіги, тести тощо). Виняток `.cursor/` / `.claude/` **не** поширюється на джерело правил у репо `@nitra/cursor` — воно лежить під `npm/`, тож зміни в ньому далі вимагають change-файлу.
 
 Перевірка програмна (`changelog/js/consistency.mjs`).
 
@@ -55,8 +54,8 @@ alwaysApply: true
 
 **Python:** статичні `project.name` і `project.version` у `pyproject.toml` (або Poetry-секція).
 
-1. **Локальна `version` ≠ опублікованій** (npm / PyPI): запис у `<ws>/CHANGELOG.md`; для npm також `"CHANGELOG.md"` у `files`.
-2. **Версії збігаються**, але в git є **релевантні** зміни без bump → fail.
+1. **Локальна `version` ≠ опублікованій** (npm / PyPI): drift поза CI → **fail** (ручний bump заборонено; навіть із change-файлом). Відкоти `version`.
+2. **Версії збігаються**, але в git є **релевантні** зміни без change-файлу → fail. Для npm `"CHANGELOG.md"` має бути в `files` (публікується разом із пакетом).
 3. **Реєстр недосяжний** — fail-safe pass.
 4. **Немає релевантних змін** — pass.
 
@@ -67,7 +66,7 @@ alwaysApply: true
 1. На **`dev`** local-only не активний (крім незакомічених registry-published).
 2. На **`main`** — diff від **`origin/main`** (попередній опублікований `main`); без remote — від `HEAD~1`. **`dev` не використовується** як база на `main`.
 3. На **feature-гілці** — `merge-base` з **`dev`**, якщо є; інакше з **`main`** (репо без `dev`).
-4. Bump + CHANGELOG **раз на PR** / direct-commit на `main`.
+4. Drift `version` від бази → **fail** (ручний bump заборонено). Зміни фіксуй change-файлом; bump зробить CI.
 
 Якщо немає git або немає `dev`/`main`/`origin/main` — local-only пропускається.
 

package/rules/changelog/js/consistency.mjs

@@ -1,25 +1,24 @@
 /**
- * Перевіряє, що в кожному workspace із релізно-релевантними змінами підвищена `version`
- * у маніфесті (`package.json` або `pyproject.toml`) і в `<ws>/CHANGELOG.md` є запис
- * `## [version] - YYYY-MM-DD` (формат Keep a Changelog).
+ * Перевіряє, що кожен workspace із релізно-релевантними змінами зафіксував їх через
+ * change-файл `<ws>/.changes/*.md` — єдиний дозволений артефакт зміни. Bump `version`
+ * і генерацію `CHANGELOG.md` робить виключно `n-cursor release` у CI на `main`.
+ *
+ * Інваріант (на будь-якій гілці): `version` не має відхилятися від бази. Будь-який drift
+ * `version` (vs опублікована в реєстрі або vs git-база) — ручний bump поза CI — завалює
+ * перевірку, навіть якщо присутній change-файл. Pass лише коли є change-файл, а version
+ * не зрушено; зміни без change-файлу — fail.
  *
  * Дві моделі бази — на рівні воркспейсу (див. n-changelog.mdc):
  *
  * 1) **registry-published** (npm: `name` + `files`, не `private`; Python: `project.name` +
- *    статична `project.version` у `pyproject.toml`): база = опублікована версія в npm / PyPI.
- *    Якщо локальна версія відрізняється — потрібен CHANGELOG; для npm також `"CHANGELOG.md"`
- *    у `files`. Якщо версії збігаються, але в git є релевантні зміни без bump — fail.
- *
- * 2) **local-only** (приватні npm, без `files`, Python без імені/версії для реєстру):
+ *    статична `project.version`): база = опублікована версія в npm / PyPI.
+ * 2) **local-only** (приватні npm без `files`, Python без імені/версії для реєстру):
  *    feature-гілка — `merge-base` з `dev`, інакше з `main`; на `main` — diff від
- *    `origin/main` (попередній опублікований main) або `HEAD~1` без remote.
+ *    `origin/main` (або `HEAD~1` без remote).
  *
  * Усі `git` і зовнішні виклики — через `execFile` / `fetch`, без shell-інтерполяції.
  */
 import { execFile } from 'node:child_process'
-import { existsSync } from 'node:fs'
-import { readFile } from 'node:fs/promises'
-import { join } from 'node:path'
 import { promisify } from 'node:util'
 
 import { createCheckReporter } from '../../../scripts/lib/check-reporter.mjs'
@@ -29,6 +28,7 @@ import {
   parsePyprojectFields,
   readPackageManifest
 } from '../lib/package-manifest.mjs'
+import { readChangeFiles } from '../../release/lib/change-file.mjs'
 
 const execFileAsync = promisify(execFile)
 
@@ -276,16 +276,6 @@ async function readBaseVersion(baseRef, manifest, cwd) {
   return parsePyprojectFields(out).version
 }
 
-/**
- * @param {string} text параметр
- * @param {string} version параметр
- * @returns {boolean} результат
- */
-function changelogHasVersionEntry(text, version) {
-  const needle = `## [${version}]`
-  return text.startsWith(needle) || text.includes(`\n${needle}`)
-}
-
 /**
  * @param {string} name параметр
  * @returns {Promise<string | null>} результат
@@ -362,31 +352,6 @@ function checkNpmFilesArrayContainsChangelog(manifest, pass, fail) {
   }
 }
 
-/**
- * @param {string} ws параметр
- * @param {string} version параметр
- * @param {(msg: string) => void} pass параметр
- * @param {(msg: string) => void} fail параметр
- * @param {string} cwd робочий каталог
- * @returns {Promise<boolean>} результат
- */
-async function verifyChangelogEntry(ws, version, pass, fail, cwd) {
-  const label = ws === '.' ? '<root>' : ws
-  const changelogRel = join(ws, 'CHANGELOG.md')
-  const changelogAbs = join(cwd, changelogRel)
-  if (!existsSync(changelogAbs)) {
-    fail(`${label}: відсутній ${changelogRel} (Keep a Changelog, див. n-changelog.mdc)`)
-    return false
-  }
-  const text = await readFile(changelogAbs, 'utf8')
-  if (changelogHasVersionEntry(text, version)) {
-    pass(`${changelogRel}: знайдено запис для версії ${version}`)
-    return true
-  }
-  fail(`${changelogRel}: відсутній запис для ${version} (формат "## [${version}] - YYYY-MM-DD")`)
-  return false
-}
-
 /**
  * @param {import('../lib/package-manifest.mjs').PackageManifest} manifest параметр
  * @returns {string} результат
@@ -395,18 +360,49 @@ function workspaceLabel(manifest) {
   return manifest.ws === '.' ? '<root>' : manifest.ws
 }
 
+/**
+ * Повідомлення «поклади change-файл» для workspace з релевантними змінами без change-файлу.
+ * @param {string} label мітка воркспейсу
+ * @param {string} mf шлях до маніфесту
+ * @returns {string} текст fail
+ */
+function missingChangeFileMessage(label, mf) {
+  return (
+    `${label}: є релевантні зміни, але немає change-файлу (version у ${mf} не чіпай вручну). ` +
+    `Поклади change-файл: npx @nitra/cursor change --bump <major|minor|patch> --section <Added|Changed|Fixed|Removed> --message "<…>"; ` +
+    `bump зробить CI на main (n-changelog.mdc)`
+  )
+}
+
+/**
+ * Чи має workspace незрелізні change-файли (намір зафіксовано — bump зробить CI).
+ * @param {string} ws workspace
+ * @param {string} cwd корінь
+ * @returns {Promise<boolean>} результат
+ */
+async function hasPendingChangeFiles(ws, cwd) {
+  const files = await readChangeFiles(ws, cwd)
+  return files.length > 0
+}
+
 /**
  * @param {import('../lib/package-manifest.mjs').PackageManifest} manifest параметр
- * @param {string} Vcurrent параметр
+ * @param {string} _Vcurrent параметр (для сумісності сигнатури; bump робить CI)
  * @param {string[]} subWorkspaces параметр
  * @param {(msg: string) => void} pass параметр
  * @param {(msg: string) => void} fail параметр
  * @param {string} cwd робочий каталог
  * @returns {Promise<void>} результат
  */
-async function checkPublishedWorkspacePendingGitChanges(manifest, Vcurrent, subWorkspaces, pass, fail, cwd) {
+async function checkPublishedWorkspacePendingGitChanges(manifest, _Vcurrent, subWorkspaces, pass, fail, cwd) {
   const label = workspaceLabel(manifest)
   const mf = manifestFilePath(manifest.ws, manifest)
+  if (await hasPendingChangeFiles(manifest.ws, cwd)) {
+    pass(`${label}: є change-файл(и) у .changes/ — bump зробить CI (n-changelog.mdc)`)
+    // Реліз наближається → CHANGELOG має публікуватися разом із пакетом.
+    checkNpmFilesArrayContainsChangelog(manifest, pass, fail)
+    return
+  }
   if (!(await isInsideGitRepo(cwd))) {
     return
   }
@@ -415,42 +411,19 @@ async function checkPublishedWorkspacePendingGitChanges(manifest, Vcurrent, subW
 
   if (branch === LOCAL_ONLY_SKIP_BRANCH) {
     if (await workspaceHasRelevantChangesAgainstBase('HEAD', manifest.ws, subWorkspaces, cwd)) {
-      fail(
-        `${label}: у registry-published пакеті є незакомічені зміни при version ${Vcurrent}, що вже в реєстрі. ` +
-          `Підвищ version у ${mf} і додай запис у CHANGELOG.md (n-changelog.mdc)`
-      )
+      fail(missingChangeFileMessage(label, mf))
     }
     return
   }
 
   const comparison = await resolveChangelogComparisonPoint(branch, cwd)
-  if (
-    comparison &&
-    (await workspaceHasRelevantChangesAgainstBase(comparison.ref, manifest.ws, subWorkspaces, cwd))
-  ) {
-    const Vbase = await readBaseVersion(comparison.ref, manifest, cwd)
-    const baseLabel = comparison.label
-    if (Vbase === null) {
-      pass(
-        `${label}: новий registry-published воркспейс (на ${baseLabel} відсутній ${mf}) — перевіряємо CHANGELOG для ${Vcurrent}`
-      )
-      await verifyChangelogEntry(manifest.ws, Vcurrent, pass, fail, cwd)
-      checkNpmFilesArrayContainsChangelog(manifest, pass, fail)
-    } else if (Vbase === Vcurrent) {
-      fail(
-        `${label}: у цій гілці є зміни в registry-published пакеті, але version у ${mf} ` +
-          `не підвищено (на ${baseLabel} — ${Vbase}). Bump + запис у CHANGELOG.md обов'язкові (n-changelog.mdc)`
-      )
-    } else {
-      pass(`${label}: version змінено (${Vbase} → ${Vcurrent}) — очікується запис CHANGELOG після bump`)
-    }
+  if (comparison && (await workspaceHasRelevantChangesAgainstBase(comparison.ref, manifest.ws, subWorkspaces, cwd))) {
+    fail(missingChangeFileMessage(label, mf))
+    return
   }
 
   if (branch === 'main' && (await workspaceHasRelevantChangesAgainstBase('HEAD', manifest.ws, subWorkspaces, cwd))) {
-    fail(
-      `${label}: у registry-published пакеті є незакомічені зміни при version ${Vcurrent}, що вже в реєстрі. ` +
-        `Підвищ version у ${mf} і додай запис у CHANGELOG.md (n-changelog.mdc)`
-    )
+    fail(missingChangeFileMessage(label, mf))
   }
 }
 
@@ -481,14 +454,18 @@ async function checkPublishedWorkspace(manifest, subWorkspaces, getPublishedVers
     pass(`${label}: ${name} — опублікована версія недоступна (мережа/реєстр), перевірку пропущено`)
     return
   }
-  if (Vpublished === Vcurrent) {
-    pass(`${label}: ${name}@${Vcurrent} збігається з реєстром — перевіряємо git на незрелізні зміни`)
-    await checkPublishedWorkspacePendingGitChanges(manifest, Vcurrent, subWorkspaces, pass, fail, cwd)
+  // Drift від опублікованої версії має пріоритет над change-файлом: ручний bump
+  // заборонено навіть із change-файлом (симетрично з local-only-шляхом).
+  if (Vpublished !== Vcurrent) {
+    fail(
+      `${label}: version у ${mf} (${Vcurrent}) розходиться з опублікованою (${Vpublished}) — ` +
+        `ручний bump заборонено. Відкоти version і поклади change-файл ` +
+        `(npx @nitra/cursor change …); bump зробить CI на main (n-changelog.mdc)`
+    )
     return
   }
-  pass(`${label}: ${name} — нова локальна версія (${Vpublished} → ${Vcurrent})`)
-  await verifyChangelogEntry(manifest.ws, Vcurrent, pass, fail, cwd)
-  checkNpmFilesArrayContainsChangelog(manifest, pass, fail)
+  pass(`${label}: ${name}@${Vcurrent} збігається з реєстром — перевіряємо git на незрелізні зміни`)
+  await checkPublishedWorkspacePendingGitChanges(manifest, Vcurrent, subWorkspaces, pass, fail, cwd)
 }
 
 /**
@@ -503,26 +480,21 @@ async function checkLocalOnlyChangedWorkspace(comparisonRef, manifest, baseLabel
   const label = workspaceLabel(manifest)
   const mf = manifestFilePath(manifest.ws, manifest)
   const Vcurrent = manifest.version
-  if (!Vcurrent) {
-    fail(`${label}: у ${mf} відсутнє поле version (потрібне для запису в CHANGELOG)`)
-    return
-  }
+  // Drift version від бази має пріоритет над change-файлом: ручний bump заборонено
+  // навіть якщо change-файл присутній (симетрично з published-шляхом).
   const Vbase = await readBaseVersion(comparisonRef, manifest, cwd)
-  if (Vbase === null) {
-    pass(`${label}: новий воркспейс (на ${baseLabel} відсутній ${mf}) — перевіряємо CHANGELOG для ${Vcurrent}`)
-    if (!(await verifyChangelogEntry(manifest.ws, Vcurrent, pass, fail, cwd))) return
-    checkNpmFilesArrayContainsChangelog(manifest, pass, fail)
-    return
-  }
-  if (Vbase === Vcurrent) {
+  if (Vbase !== null && Vcurrent !== null && Vbase !== Vcurrent) {
     fail(
-      `${label}: у цій гілці є зміни, але version у ${mf} не підвищено (на ${baseLabel} — ${Vbase}). Bump + запис у CHANGELOG.md обов'язкові на PR`
+      `${label}: version у ${mf} змінено поза CI (${Vbase} → ${Vcurrent}) — ручний bump заборонено (на ${baseLabel} — ${Vbase}). ` +
+        `Відкоти version і поклади change-файл (npx @nitra/cursor change …); bump зробить CI (n-changelog.mdc)`
     )
     return
   }
-  pass(`${label}: version підвищено (${Vbase} → ${Vcurrent})`)
-  if (!(await verifyChangelogEntry(manifest.ws, Vcurrent, pass, fail, cwd))) return
-  checkNpmFilesArrayContainsChangelog(manifest, pass, fail)
+  if (await hasPendingChangeFiles(manifest.ws, cwd)) {
+    pass(`${label}: є change-файл(и) у .changes/ — bump зробить CI (n-changelog.mdc)`)
+    return
+  }
+  fail(missingChangeFileMessage(label, mf))
 }
 
 /**

package/rules/nginx-default-tpl/js/template.mjs

@@ -359,6 +359,7 @@ async function checkDockerfiles(root, ignorePaths, passFn, failFn) {
  * `default.conf.template` (умовне правило — без шаблона цей крок не запускається).
  * @param {(msg: string) => void} passFn callback при успішній перевірці
  * @param {(msg: string) => void} failFn callback при помилці
+ * @param {string} cwd корінь репозиторію
  * @returns {void}
  */
 function checkVscodeNginx(passFn, failFn, cwd) {

package/rules/release/change.mjs

@@ -0,0 +1,57 @@
+/**
+ * `n-cursor change` — пише один change-файл `<ws>/.changes/<timestamp>-<rand>.md`.
+ * Замінює ручне редагування CHANGELOG у feature-флоу (n-changelog.mdc v3.0).
+ */
+import { mkdir, writeFile } from 'node:fs/promises'
+import { join } from 'node:path'
+
+import { CHANGES_DIR, newChangeFileName, parseChangeFile, serializeChangeFile } from './lib/change-file.mjs'
+
+/**
+ * @param {object} params параметри
+ * @param {string} params.bump `major|minor|patch`
+ * @param {string} params.section `Added|Changed|Fixed|Removed`
+ * @param {string} params.message опис
+ * @param {string} [params.ws] workspace (за замовчуванням `.`)
+ * @param {string} [params.cwd] корінь
+ * @returns {Promise<string>} відносний шлях створеного файлу (від ws)
+ */
+export async function writeChange({ bump, section, message, ws = '.', cwd = process.cwd() }) {
+  const description = (message ?? '').trim()
+  const content = serializeChangeFile({ bump, section, description })
+  // Валідація полів: parseChangeFile кидає зрозумілу помилку на невалідних bump/section/порожньому описі.
+  parseChangeFile(content)
+
+  const dir = join(cwd, ws, CHANGES_DIR)
+  await mkdir(dir, { recursive: true })
+  const name = newChangeFileName()
+  await writeFile(join(dir, name), content)
+  return join(CHANGES_DIR, name)
+}
+
+/**
+ * @param {string[]} args аргументи CLI (`--bump`, `--section`, `--message`, `--ws`)
+ * @returns {Promise<number>} exit-код
+ */
+export async function runChangeCli(args) {
+  const get = flag => {
+    const i = args.indexOf(flag)
+    return i !== -1 && i + 1 < args.length ? args[i + 1] : undefined
+  }
+  const bump = get('--bump')
+  const section = get('--section')
+  const message = get('--message')
+  const ws = get('--ws') ?? '.'
+  if (!bump || !section || !message) {
+    console.error('❌ Використання: n-cursor change --bump <major|minor|patch> --section <Added|Changed|Fixed|Removed> --message "<опис>" [--ws <шлях>]')
+    return 1
+  }
+  try {
+    const rel = await writeChange({ bump, section, message, ws })
+    console.log(`✅ ${join(ws, rel)}`)
+    return 0
+  } catch (error) {
+    console.error(`❌ ${error instanceof Error ? error.message : String(error)}`)
+    return 1
+  }
+}

package/rules/release/fix.mjs

@@ -0,0 +1,17 @@
+import { isRunAsCli, runRuleCli } from '../../scripts/lib/run-rule-cli.mjs'
+import { runStandardRule } from '../../scripts/lib/run-standard-rule.mjs'
+
+/**
+ * Запускає правило: applies → JS-concerns → policy → mdc-refs (через runStandardRule).
+ * Library mode: викликається CLI orchestration через `import + run(ctx)`.
+ * @param {import('../../scripts/lib/run-standard-rule.mjs').RuleContext} [ctx] контекст прогону (walkCache тощо)
+ * @returns {Promise<number>} 0 — OK, 1 — порушення
+ */
+export function run(ctx) {
+  return runStandardRule(import.meta.dirname, ctx)
+}
+
+if (isRunAsCli(import.meta.url)) {
+  // eslint-disable-next-line n/no-process-exit, unicorn/no-process-exit -- standalone entry-point має повертати exit-code для CI/IDE
+  process.exit(await runRuleCli(import.meta.dirname))
+}

package/rules/release/lib/aggregate.mjs

@@ -0,0 +1,82 @@
+/**
+ * Агрегація change-файлів одного workspace у version-bump + секцію CHANGELOG
+ * (Keep a Changelog 1.1.0, новіше зверху). Без побічних ефектів — лише обчислення/рендер;
+ * запис на диск і git — у release.mjs.
+ */
+import { VALID_BUMPS, VALID_SECTIONS } from './change-file.mjs'
+
+const SEMVER_RE = /^(\d+)\.(\d+)\.(\d+)$/
+const CHANGELOG_HEADER = '# Changelog'
+
+/**
+ * @param {string} version `x.y.z`
+ * @param {string} bump `major|minor|patch`
+ * @returns {string} нова версія
+ */
+export function bumpVersion(version, bump) {
+  const m = SEMVER_RE.exec(version)
+  if (!m) throw new Error(`aggregate: невалідний semver «${version}»`)
+  const [major, minor, patch] = [Number(m[1]), Number(m[2]), Number(m[3])]
+  if (bump === 'major') return `${major + 1}.0.0`
+  if (bump === 'minor') return `${major}.${minor + 1}.0`
+  return `${major}.${minor}.${patch + 1}`
+}
+
+/**
+ * @param {string[]} bumps непорожній список
+ * @returns {string} найвищий bump (major > minor > patch)
+ */
+export function maxBump(bumps) {
+  return VALID_BUMPS.find(level => bumps.includes(level)) ?? 'patch'
+}
+
+/**
+ * @param {string} version нова версія
+ * @param {string} date `YYYY-MM-DD`
+ * @param {Array<{ section: string, description: string }>} entries записи change-файлів
+ * @returns {string} markdown-блок секції
+ */
+export function renderChangelogSection(version, date, entries) {
+  let out = `## [${version}] - ${date}\n`
+  for (const section of VALID_SECTIONS) {
+    const bullets = entries.filter(e => e.section === section)
+    if (bullets.length === 0) continue
+    const bulletLines = bullets.map(b => '- ' + b.description).join('\n')
+    out += `\n### ${section}\n\n${bulletLines}\n`
+  }
+  return out
+}
+
+/**
+ * @param {string} existingText наявний CHANGELOG.md (може бути порожнім)
+ * @param {string} sectionBlock новий блок версії
+ * @returns {string} CHANGELOG із секцією зверху
+ */
+export function prependChangelogSection(existingText, sectionBlock) {
+  const text = existingText.trimStart()
+  if (!text.startsWith(CHANGELOG_HEADER)) {
+    return `${CHANGELOG_HEADER}\n\n${sectionBlock}`
+  }
+  const nl = text.indexOf('\n')
+  const head = text.slice(0, nl === -1 ? text.length : nl)
+  const rest = nl === -1 ? '' : text.slice(nl + 1).trimStart()
+  return `${head}\n\n${sectionBlock}\n${rest}`
+}
+
+/**
+ * @param {object} params параметри
+ * @param {string} params.currentVersion поточна version маніфесту
+ * @param {Array<{ file: string, entry: { bump: string, section: string, description: string } }>} params.changeFiles change-файли workspace
+ * @param {string} params.date `YYYY-MM-DD`
+ * @returns {{ newVersion: string, sectionBlock: string, consumedFiles: string[] } | null} результат або null, якщо змін нема
+ */
+export function aggregateWorkspace({ currentVersion, changeFiles, date }) {
+  if (changeFiles.length === 0) return null
+  const newVersion = bumpVersion(currentVersion, maxBump(changeFiles.map(c => c.entry.bump)))
+  const sectionBlock = renderChangelogSection(
+    newVersion,
+    date,
+    changeFiles.map(c => c.entry)
+  )
+  return { newVersion, sectionBlock, consumedFiles: changeFiles.map(c => c.file) }
+}