@nitra/cursor 1.5.2 → 1.5.3

package/mdc/ga.mdc

@@ -41,6 +41,9 @@ on:
 jobs:
   cleanup_old_workflows:
     runs-on: ubuntu-latest
+    permissions:
+      actions: write
+      contents: read
     steps:
       - name: Delete workflow runs
         uses: dmvict/clean-workflow-runs@v1.0.0
@@ -67,6 +70,8 @@ on:
 jobs:
   cleanup_old_branches:
     runs-on: ubuntu-latest
+    permissions:
+      contents: write
     steps:
       - id: delete_stuff
         name: Delete those pesky dead branches
@@ -78,11 +83,68 @@ jobs:
           dry_run: no
 
       - name: Get output
-        run: "echo 'Deleted branches: ${{ steps.delete_stuff.outputs.deleted_branches }}'"
+        env:
+          DELETED_BRANCHES: ${{ steps.delete_stuff.outputs.deleted_branches }}
+        run: |
+          echo "Deleted branches: ${DELETED_BRANCHES}"
 ```
 
 якщо в ignore_branches задані інші бранчі, то це допустимо.
 
+Повинен бути файл .github/workflows/lint-ga.yml, зі змістом:
+
+```yaml
+name: Lint GA
+
+on:
+  push:
+    branches:
+      - dev
+    paths:
+      - '.github/workflows/**'
+      - '.github/zizmor.yml'
+      - 'package.json'
+      - 'bun.lock'
+
+  pull_request:
+    branches:
+      - dev
+
+concurrency:
+  group: ${{ github.ref }}-${{ github.workflow }}
+  cancel-in-progress: true
+
+jobs:
+  lint-ga:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+    steps:
+      - uses: actions/checkout@v4
+        with:
+          persist-credentials: false
+
+      - uses: oven-sh/setup-bun@v2
+
+      - name: Cache Bun dependencies
+        uses: actions/cache@v4
+        with:
+          path: |
+            ~/.bun/install/cache
+            node_modules
+          key: ${{ runner.os }}-bun-${{ hashFiles('**/bun.lock') }}
+          restore-keys: |
+            ${{ runner.os }}-bun-
+
+      - name: Install dependencies
+        run: bun install --frozen-lockfile
+
+      - uses: astral-sh/setup-uv@v6
+
+      - name: Lint GA
+        run: bun run lint-ga
+```
+
 в файлі .vscode/extensions.json є налаштування для GitHub Actions:
 
 ```json title=".vscode/extensions.json"
@@ -91,6 +153,29 @@ jobs:
 }
 ```
 
+## actionlint
+
+Статична перевірка синтаксису та виразів GitHub Actions: [actionlint](https://github.com/rhysd/actionlint).
+
+У кореневому `package.json` у скрипті `lint-ga` викликай **actionlint** через **`bunx node-actionlint`** (пакет [node-actionlint](https://www.npmjs.com/package/node-actionlint) постає бінарник actionlint для Node-екосистеми).
+
+## zizmor
+
+Статичний аналіз безпеки для GitHub Actions: [zizmor documentation](https://docs.zizmor.sh).
+
+У кореневому `package.json` має бути скрипт:
+
+```json title="package.json"
+"scripts": {
+  "lint-ga": "bunx node-actionlint && uvx zizmor --offline --collect=workflows ."
+}
+```
+
+Параметр `--offline` обмежує аналіз офлайн-аудитами (без GitHub API);
+
+За замовчуванням audit [unpinned-uses](https://docs.zizmor.sh/audits/#unpinned-uses) вимагає повний commit SHA для кожного `uses:`. У всих проєктах прийняті **семантичні теги** (`@v4`, `@v2` тощо), додай `.github/zizmor.yml` з політикою `ref-pin` (приклад у цьому репозиторії).
+
 ## Перевірка
 
-`npx @nitra/cursor check ga`
+- `bun run lint-ga` — actionlint (node-actionlint) і zizmor
+- `npx @nitra/cursor check ga`

package/mdc/js-lint.mdc

@@ -25,7 +25,7 @@ version: '1.4'
     "lint-js": "oxlint --fix && bunx eslint --fix . && bunx jscpd ."
   },
   "devDependencies": {
-    "@nitra/eslint-config": "^3.3.0"
+    "@nitra/eslint-config": "^3.4.0"
   }
 ```
 
@@ -74,8 +74,12 @@ concurrency:
 jobs:
   eslint:
     runs-on: ubuntu-latest
+    permissions:
+      contents: read
     steps:
       - uses: actions/checkout@v4
+        with:
+          persist-credentials: false
 
       - uses: oven-sh/setup-bun@v2
 

package/mdc/text.mdc

@@ -118,8 +118,12 @@ concurrency:
 jobs:
   text:
     runs-on: ubuntu-latest
+    permissions:
+      contents: read
     steps:
       - uses: actions/checkout@v4
+        with:
+          persist-credentials: false
 
       - uses: oven-sh/setup-bun@v2
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nitra/cursor",
-  "version": "1.5.2",
+  "version": "1.5.3",
   "description": "CLI для завантаження cursor-правил (префікс n-) у локальний репозиторій",
   "keywords": [
     "cli",
@@ -25,6 +25,7 @@
   "files": [
     "mdc",
     "bin",
+    "schemas",
     "scripts",
     "skills",
     "AGENTS.template.md"

package/schemas/n-cursor.json

@@ -0,0 +1,27 @@
+{
+  "$schema": "http://json-schema.org/draft-07/schema#",
+  "$id": "https://unpkg.com/@nitra/cursor/schemas/n-cursor.json",
+  "title": "n-cursor project config",
+  "description": "Конфігурація правил і skills для CLI @nitra/cursor (файл .n-cursor.json у корені репозиторію).",
+  "type": "object",
+  "additionalProperties": true,
+  "properties": {
+    "rules": {
+      "type": "array",
+      "description": "Ідентифікатори правил без префікса n- (відповідають файлам n-<id>.mdc).",
+      "items": {
+        "type": "string",
+        "minLength": 1
+      }
+    },
+    "skills": {
+      "type": "array",
+      "description": "Ідентифікатори skills без префікса n- (каталог .cursor/skills).",
+      "items": {
+        "type": "string",
+        "minLength": 1
+      }
+    }
+  },
+  "required": ["rules", "skills"]
+}

package/scripts/check-ga.mjs

@@ -30,7 +30,7 @@ export async function check() {
     pass('Всі workflows мають розширення .yml')
   }
 
-  for (const f of ['clean-ga-workflows.yml', 'clean-merged-branch.yml']) {
+  for (const f of ['clean-ga-workflows.yml', 'clean-merged-branch.yml', 'lint-ga.yml']) {
     if (files.includes(f)) {
       pass(`${f} існує`)
     } else {

package/scripts/check-js-lint.mjs

@@ -33,9 +33,7 @@ export async function check() {
         fail('lint-js має викликати jscpd — додай "&& bunx jscpd ." у кінець скрипта')
       }
     } else {
-      fail(
-        'package.json не містить скрипт "lint-js" — додай: "oxlint --fix && bunx eslint --fix . && bunx jscpd ."'
-      )
+      fail('package.json не містить скрипт "lint-js" — додай: "oxlint --fix && bunx eslint --fix . && bunx jscpd ."')
     }
 
     if (pkg.devDependencies?.['@nitra/eslint-config']) {