@nitra/cursor 1.5.3 → 1.6.4

package/mdc/bun.mdc

@@ -1,7 +1,7 @@
 ---
 description: Bun як єдиний package manager у монорепо
 alwaysApply: true
-version: '1.1'
+version: '1.2'
 ---
 
 Проект використовує тільки Bun для керування залежностями та запуску скриптів.
@@ -50,7 +50,7 @@ Lockfile у репозиторії: `bun.lock`.
 
 Якщо в package.json є поля `packageManager`, то прибрати їх, також прибрати всі директорії та файли для yarn
 
-Якщо в проекті використовується npx, то не заміняти його на bunx, а використовувати npx.
+Якщо в проекті використовується npx, то не замінювати його на bunx, а використовувати npx.
 Коли зміна відбувається в Dockerfile, то використовувати
 
 ```dockerfile

package/mdc/ga.mdc

@@ -1,30 +1,10 @@
 ---
 description: Правила форматів для .github/workflows
 alwaysApply: true
-version: '1.0'
+version: '1.2'
 ---
 
-#
-
-Всі файли в директорії .github/workflows повинні мати розширення тільки yml
-
-Якщо є .github/workflows/apply-k8s.yml, то в ньому обов'язково повинно бути вказано що критерій для запуску це:
-
-```yaml
-on:
-  push:
-    paths:
-      - '**/k8s/*.yaml'
-```
-
-Якщо є .github/workflows/apply-nats-consumer.yml, то в ньому обов'язково повинно бути вказано що критерій для запуску це:
-
-```yaml
-on:
-  push:
-    paths:
-      - '**/consumer.yaml'
-```
+У `.github/workflows/` лише **`.yml`**. Мають бути **`clean-ga-workflows.yml`**, **`clean-merged-branch.yml`**, **`lint-ga.yml`**. Якщо є **`apply-k8s.yml`** / **`apply-nats-consumer.yml`** — paths у тригері як у фрагментах.
 
 Повинен бути файл .github/workflows/clean-ga-workflows.yml, зі змістом:
 
@@ -53,7 +33,6 @@ jobs:
           save_min_runs_number: 0
 
 ```
-
 Повинен бути файл .github/workflows/clean-merged-branch.yml, зі змістом:
 
 ```yaml
@@ -89,8 +68,7 @@ jobs:
           echo "Deleted branches: ${DELETED_BRANCHES}"
 ```
 
-якщо в ignore_branches задані інші бранчі, то це допустимо.
-
+Інші гілки в `ignore_branches` — допустимо.
 Повинен бути файл .github/workflows/lint-ga.yml, зі змістом:
 
 ```yaml
@@ -145,25 +123,13 @@ jobs:
         run: bun run lint-ga
 ```
 
-в файлі .vscode/extensions.json є налаштування для GitHub Actions:
-
 ```json title=".vscode/extensions.json"
 {
   "recommendations": ["github.vscode-github-actions"]
 }
 ```
 
-## actionlint
-
-Статична перевірка синтаксису та виразів GitHub Actions: [actionlint](https://github.com/rhysd/actionlint).
-
-У кореневому `package.json` у скрипті `lint-ga` викликай **actionlint** через **`bunx node-actionlint`** (пакет [node-actionlint](https://www.npmjs.com/package/node-actionlint) постає бінарник actionlint для Node-екосистеми).
-
-## zizmor
-
-Статичний аналіз безпеки для GitHub Actions: [zizmor documentation](https://docs.zizmor.sh).
-
-У кореневому `package.json` має бути скрипт:
+**Лінт:** [actionlint](https://github.com/rhysd/actionlint) через [node-actionlint](https://www.npmjs.com/package/node-actionlint); [zizmor](https://docs.zizmor.sh) — `uvx`, офлайн. Скрипт у корені:
 
 ```json title="package.json"
 "scripts": {
@@ -171,11 +137,22 @@ jobs:
 }
 ```
 
-Параметр `--offline` обмежує аналіз офлайн-аудитами (без GitHub API);
+**`.github/zizmor.yml`:** для [unpinned-uses](https://docs.zizmor.sh/audits/#unpinned-uses) — політика **`ref-pin`**, якщо в `uses:` семантичні теги. За потреби вимкни [template-injection](https://docs.zizmor.sh/audits/#template-injection):
+
+```yaml title=".github/zizmor.yml"
+# https://docs.zizmor.sh/configuration/
+rules:
+  unpinned-uses:
+    config:
+      policies:
+        '*': ref-pin
+  template-injection:
+    disable: true
+```
 
-За замовчуванням audit [unpinned-uses](https://docs.zizmor.sh/audits/#unpinned-uses) вимагає повний commit SHA для кожного `uses:`. У всих проєктах прийняті **семантичні теги** (`@v4`, `@v2` тощо), додай `.github/zizmor.yml` з політикою `ref-pin` (приклад у цьому репозиторії).
+**MegaLinter:** не використовувати; прибрати workflow, конфіги (`.mega-linter.yml`, `.megalinter.yaml`, `.mega-linter.yaml`), залежності та згадки в CI / pre-commit / документації.
 
 ## Перевірка
 
-- `bun run lint-ga` — actionlint (node-actionlint) і zizmor
+- `bun run lint-ga`
 - `npx @nitra/cursor check ga`

package/mdc/js-lint.mdc

@@ -1,12 +1,10 @@
 ---
 description: Перевірка JavaScript коду
 alwaysApply: true
-version: '1.4'
+version: '1.7'
 ---
 
-Перевірка виконується за допомогою **oxlint**, **ESLint** та **jscpd** (дублікати коду).
-
-У файлі `.vscode/extensions.json` мають бути рекомендації розширень:
+**oxlint**, **ESLint**, **jscpd**. У скрипті **`lint-js`:** `oxlint` (без `bunx`), **`bunx eslint`**, **`bunx jscpd`**; у CI — `bunx oxlint` / `bunx eslint` / `bunx jscpd`. Без **prettier** і **@nitra/prettier-config**. Достатньо **`@nitra/eslint-config`** у devDependencies; пакети oxlint/eslint/jscpd не додавай без потреби монорепо.
 
 ```json title=".vscode/extensions.json"
 {
@@ -18,19 +16,19 @@ version: '1.4'
 }
 ```
 
-У кореневому `package.json` додай скрипт і залежності:
-
 ```json title="package.json"
+{
   "scripts": {
     "lint-js": "oxlint --fix && bunx eslint --fix . && bunx jscpd ."
   },
   "devDependencies": {
     "@nitra/eslint-config": "^3.4.0"
+  },
+  "engines": {
+    "node": ">=24"
   }
+}
 ```
-
-У `devDependencies` достатньо `@nitra/eslint-config` (залежності ESLint підтягуються разом із ним). **oxlint**, **eslint** та **jscpd** у скриптах викликай через `bunx`; окремо не додавай пакети `oxlint` / `eslint` / `jscpd`, якщо цього не вимагає ваш монорепо.
-
 У корені проєкту має бути `.jscpd.json`. Мінімум: увімкнути облік `.gitignore`, ненульовий код виходу при знаходженні клонів, консольний звіт. За потреби додай `ignore` (дзеркальні каталоги, шаблони) та `minLines`, щоб відсікти дрібні збіги:
 
 ```json title=".jscpd.json"
@@ -43,9 +41,20 @@ version: '1.4'
 }
 ```
 
-Додай workflow `.github/workflows/lint-js.yml`:
+## jscpd: рефакторинг і структура
+
+Коли **jscpd** знаходить клони, спочатку зменшуй дублювання кодом, а не конфігом.
 
-```yaml
+- **Рефакторинг:** винеси спільні фрагменти в функції, модулі, утиліти, composables/hooks, спільні компоненти або базові типи — залежно від контексту.
+- **Структура:** якщо одна й та сама логіка розмазана між файлами чи пакетами, запропонуй зміну структури (наприклад, спільний модуль, `shared/`, внутрішній пакет у monorepo), щоб була **одна канонічна реалізація** і повторні місця лише викликали її.
+
+Так ти уникаєш **хибних обходів** перевірки: розширення `ignore` чи завищення `minLines` лише щоб прибрати звіт — не заміна рефакторингу для справжніх клонів. Якщо збіг **семантично випадковий** (генерований код, формальні шаблони без спільної логіки), після оцінки допустимо точковий `ignore` або зміна порогу — з коротким обґрунтуванням.
+
+Але обов'язково перед рефакторингом перевір чи є тести на блоки які підлягають зміні, а саме Bun.test для js та playwright для vue. Якщо є, то перевір чи вони покривають блоки які підлягають зміні. Якщо не покривають або тестів немає — спочатку створи їх, перевір що вони покривають і відпрацьовують коректно, а потім роби рефакторинг і ще раз запускай тести, але якщо тести не відпрацьовують коректно після рефакторингу, то не роби рефакторинг.
+
+Додай workflow:
+
+```yaml title=".github/workflows/lint-js.yml"
 name: Lint JS
 
 on:
@@ -103,9 +112,7 @@ jobs:
           bunx jscpd .
 ```
 
-**Без дублювання CI:** якщо в `.github/workflows` уже є `lint.yml` з тими самими кроками `oxlint` або `eslint`,  видали зайвий workflow, а саме `lint.yml` — лінт JS має виконуватися в одному місці.
-
-У корені проєкту має бути `eslint.config.js` із розподілом директорій за типом коду:
+Один workflow на лінт JS; зайвий `lint.yml` з тими самими кроками — прибери.
 
 ```javascript title="eslint.config.js"
 import { getConfig } from '@nitra/eslint-config'
@@ -118,7 +125,6 @@ export default [
 ```
 
 У монорепо пакети з Vite (frontend) вкажи в секції `vue`, решту — у секції `node` у виклику `getConfig`.
-
 ## Додаткові js правила
 
 Завжди додавай до package.json що підтримується 24+ версія node:
@@ -128,10 +134,7 @@ export default [
   "node": ">=24"
 }
 ```
-
-Завжди код повинен використовувати синтаксис 24+ версії node
-
-Завжди повинен використовуватися top level await
+**Код:** синтаксис Node **24+**, **top level await**.
 
 ## Перевірка
 

package/mdc/js-pino.mdc

@@ -7,7 +7,7 @@ version: '1.0'
 Проект використовує @nitra/pino для логування.
 Якщо в проекті присутній @nitra/bunyan, то він повинен бути замінений на @nitra/pino.
 
-В k8s/base/configmap.yaml повинен бути заданий OTEL_RESOURCE_ATTRIBUTES: 'service.name=<project_name>,service.namespace=<project_namespace>'
+В **/k8s/base/configmap.yaml повинен бути заданий OTEL_RESOURCE_ATTRIBUTES: 'service.name=<project_name>,service.namespace=<project_namespace>'
 а в директоріях з kustomize повинні бути перевизначені значення OTEL_RESOURCE_ATTRIBUTES і в них service.namespace повинен відповідати namespace, в якому знаходиться дана директорія.
 
 Configmap повинен бути з тією самою назвою, що і deployment, якщо у deployment тільки один configmap.

package/mdc/npm-module.mdc

@@ -1,17 +1,51 @@
 ---
 description: Оформлення репозиторію для npm модуля
 alwaysApply: true
-version: '1.0'
+version: '1.2'
 ---
 
-Проект представляє собою Bun monorepo
+Bun monorepo: workspace **`npm/`**, кореневий **`package.json`**, **`.github/workflows/`**; опційно **`demo/`**.
 
-Структура проекту:
+## npm publish
 
-- .github/workflows/ - скрипти для github actions
-- demo/ - опціонально демо проект
-- npm/ - файли для npm модуля
-- package.json
+**`npm-publish.yml`:** push у **`main`**, **`paths: npm/**`**, **`JS-DevTools/npm-publish@v4`**, **`with.package: npm/package.json`**, **`permissions.id-token: write`** (OIDC на npm).
+
+```yaml title=".github/workflows/npm-publish.yml"
+name: npm-publish
+
+on:
+  push:
+    paths:
+      - 'npm/**'
+    branches:
+      - main
+
+concurrency:
+  group: ${{ github.ref }}-${{ github.workflow }}
+  cancel-in-progress: true
+
+jobs:
+  publish:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+      id-token: write # КРИТИЧНО для OIDC!
+
+    steps:
+      - uses: actions/checkout@v4
+        with:
+          persist-credentials: false
+
+      - uses: actions/setup-node@v5
+        with:
+          node-version: '24' # includes npm@11.6.0
+          registry-url: 'https://registry.npmjs.org'
+
+      - name: Publish package
+        uses: JS-DevTools/npm-publish@v4
+        with:
+          package: npm/package.json
+```
 
 ## Перевірка
 

package/mdc/text.mdc

@@ -1,14 +1,10 @@
 ---
 description: Обробка та перевірка текстових файлів (cspell, markdownlint-cli2, v8r, CI)
 alwaysApply: true
-version: '1.12'
+version: '1.16'
 ---
 
-Правило описує роботу з **текстовими файлами** в репозиторії: перевірка правопису через **cspell**, стиль **Markdown** через **markdownlint-cli2**, валідація **JSON/YAML/TOML** через **[v8r](https://chris48s.github.io/v8r/)** ([Schema Store](https://www.schemastore.org/)), розширення **DavidAnson.vscode-markdownlint** у Cursor/VS Code та інтеграція в CI.
-
-## Розширення Cursor / VS Code
-
-У файлі `.vscode/extensions.json` **додай** `DavidAnson.vscode-markdownlint` у масив `recommendations` (разом із записами з інших правил, зокрема js-lint / js-format):
+**cspell**, **markdownlint-cli2**, **[v8r](https://chris48s.github.io/v8r/)** ([Schema Store](https://www.schemastore.org/)), розширення **DavidAnson.vscode-markdownlint**, workflow **`lint-text`**.
 
 ```json title=".vscode/extensions.json"
 {
@@ -21,34 +17,20 @@ version: '1.12'
 }
 ```
 
-## Скрипти та залежності в package.json
-
-У кореневому `package.json` один скрипт **lint-text** має послідовно викликати **cspell**, **markdownlint-cli2** і **v8r** (і решту блоків з розділів нижче в одному файлі):
+**`package.json`:** скрипт **`lint-text`** і devDependencies **`@nitra/cspell-dict`**, **`markdownlint-cli2`**. Для української додай **`@cspell/dict-uk-ua`**. **`v8r`** лише через **`bunx`**, не в devDependencies. Окремий пакет **`markdownlint`** не потрібний.
 
 ```json title="package.json"
+{
   "scripts": {
     "lint-text": "npx cspell . && bunx markdownlint-cli2 --fix \"**/*.md\" \"**/*.mdc\" && (bunx v8r \"**/*.json\" || [ $? -eq 98 ]) && (bunx v8r \"**/*.yml\" || [ $? -eq 98 ]) && (bunx v8r \"**/*.yaml\" || [ $? -eq 98 ]) && (bunx v8r \"**/*.toml\" || [ $? -eq 98 ])"
   },
   "devDependencies": {
-    "markdownlint-cli2": "^0.22.0"
+    "@nitra/cspell-dict": "^1.0.185"
   }
+}
 ```
 
-**markdownlint-cli2** і **v8r** у скрипті викликай через `bunx`. Окремо не додавай пакет `markdownlint`, якщо достатньо `markdownlint-cli2`. Маски `**/*.md` і `**/*.mdc` охоплюють Markdown і правила Cursor (`.mdc`); виключення з `.gitignore` для markdownlint задаються в `.markdownlint-cli2.jsonc` (`gitignore: true`). За потреби можна додати окремий скрипт `lint-md` лише для markdownlint — CI все одно має викликати повний `bun run lint-text`.
-
-## v8r
-
-[v8r](https://chris48s.github.io/v8r/) — CLI-валідатор: за іменем файлу знаходить схему в [Schema Store](https://www.schemastore.org/) і перевіряє вміст. У `lint-text` — чотири послідовні виклики з масками `**/*.json`, `**/*.yml`, `**/*.yaml`, `**/*.toml`, кожен у вигляді `(bunx v8r "<glob>" || [ $? -eq 98 ])`.
-
-**Код 98:** якщо для glob **немає жодного файлу**, v8r дає **98**. Це стосується не лише TOML: репозиторій без `.yml`/`.yaml` зламає **один** спільний виклик `v8r` уже на `**/*.yml`. Окремі виклики з дозволом лише **98** покривають і такі репозиторії.
-
-За замовчуванням v8r враховує **`.gitignore`**. **`.v8rignore` не створюй завчасно** — файл потрібен **лише коли** `bunx v8r` падає на JSON/YAML без схеми в каталозі (тоді додай у ignore відповідні glob’и).
-
-Пакет **`v8r` у `devDependencies` не додавай** — у скрипті достатньо **`bunx v8r`**.
-
-## Конфігурація markdownlint-cli2
-
-У корені проєкту має бути **`.markdownlint-cli2.jsonc`** (документація: [DavidAnson/markdownlint-cli2](https://github.com/DavidAnson/markdownlint-cli2)):
+**v8r:** чотири виклики `(bunx v8r "<glob>" || [ $? -eq 98 ])` — exit **98**, якщо glob порожній. **`.v8rignore`** лише коли немає схеми. Враховує `.gitignore`.
 
 ```json title=".markdownlint-cli2.jsonc"
 {
@@ -63,19 +45,14 @@ version: '1.12'
 }
 ```
 
-`gitignore: true` змушує markdownlint-cli2 пропускати шляхи з `.gitignore` (у тому числі `node_modules`, якщо воно там є). Додатковий glob `"#node_modules"` у скрипті не потрібен. За потреби додай власні шляхи через `ignores` у цьому ж файлі.
-
-За потреби увімкни окремі правила (наприклад `MD013` з `line_length: 120`), щоб узгодити довжину рядків з `.oxfmtrc.json`.
-
-`MD041` вимкнено навмисно: файли `.mdc` (Cursor rules) мають YAML frontmatter, після якого перший абзац часто не є заголовком H1.
+**MD041** off навмисно (`.mdc` з frontmatter). Деталі — [markdownlint-cli2](https://github.com/DavidAnson/markdownlint-cli2).
 
 ## Cspell
 
 У корені проєкту має бути `.cspell.json` і залежності для cspell у кореневому `package.json` (зазвичай `devDependencies`).
 
 Додай workflow `.github/workflows/lint-text.yml`:
-
-```yaml
+```yaml title=".github/workflows/lint-text.yml"
 name: Lint Text
 
 on:
@@ -144,11 +121,11 @@ jobs:
         run: bun run lint-text
 ```
 
-**Без дублювання CI:** якщо в `.github/workflows` уже є workflow з тими самими кроками `cspell` або `markdownlint-cli2`, видали зайвий — перевірки тексту та Markdown мають виконуватися в одному місці.
+Не дублюй окремий workflow з тими самими кроками cspell/markdownlint.
 
-## Базовий варіант cspell (без окремого словника української)
+**`.cspell.json`**, `version: "0.2"`, **`language`**, **`import`** з `@nitra/cspell-dict`, **`ignorePaths`**, **`words`** лише для назв/термінів, коли не виправити текстом.
 
-Якщо текст переважно англійською та достатньо корпоративного словника (@nitra/cspell-dict; у полі `language` cspell лишається тег `nitra`):
+Базово (англійська + українська + корпоративний словник):
 
 ```json title=".cspell.json"
 {
@@ -167,14 +144,14 @@ jobs:
   },
   "devDependencies": {
     "@nitra/cspell-dict": "^1.0.185",
-    "markdownlint-cli2": "^0.22.0"
+    "@cspell/dict-uk-ua": "^4.0.6"
   }
 }
 ```
 
 ## Проєкт з українською мовою
 
-Якщо в репозиторії є українська документація, коментарі або рядки в коді — потрібен **окремий словник** `@cspell/dict-uk-ua`, інакше cspell не перевірятиме український правопис коректно.
+Якщо в репозиторії є українська документація, коментарі або рядки в коді — потрібен **окремий словник** `@cspell/dict-ru_ru`, інакше cspell не перевірятиме російський правопис коректно.
 
 **1. Залежності** — додай пакет словника поруч із `@nitra/cspell-dict`:
 
@@ -186,6 +163,7 @@ jobs:
   "devDependencies": {
     "@nitra/cspell-dict": "^1.0.185",
     "@cspell/dict-uk-ua": "^4.0.6",
+    "@cspell/dict-ru_ru": "^2.3.2",
     "markdownlint-cli2": "^0.22.0"
   }
 }
@@ -210,14 +188,21 @@ jobs:
 
 Підлаштуй `language` під проєкт (наприклад додай `ru-ru`, якщо потрібна перевірка російською). Порядок у `import` може впливати на пріоритет словників — тримай корпоративний `@nitra/cspell-dict` там, де зручно для ваших правил.
 
-## Локальні виключення
+## Локальні виключення (cspell `words`)
+
+Коли **cspell** підсвічує слово, спочатку **виправ текст**, а не розширюй словник:
 
-У секції `words` у `.cspell.json` додають власні терміни, імена та скорочення, яких немає в словниках.
+- виправ **друкарські помилки** та неправильні форми;
+- **перефразуй коректною українською** (або англійською, залежно від контексту файлу): заміни кальки й випадкові склади на звичні формулювання зі словників;
+- заміни **жаргон**, якщо є природний еквівалент у тому ж стилі документації (наприклад, у коментарях пиши «функція зворотного виклику» замість розмовного запозичення з англійського `callback`).
+
+У секцію `words` у `.cspell.json` додавай записи **лише якщо переписати коректно неможливо** або **недоречно**: власні назви, стабільні технічні терміни без усталеного перекладу в проєкті, ідентифікатори зовнішніх API тощо.
 
 ## Інші мови
 
 Для іншої мови встанови відповідний пакет `@cspell/dict-*`, додай його `cspell-ext.json` у `import` і код мови в `language`. Огляд словників: [streetsidesoftware/cspell-dicts](https://github.com/streetsidesoftware/cspell-dicts).
 
+
 ## Перевірка
 
 `npx @nitra/cursor check text`

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nitra/cursor",
-  "version": "1.5.3",
+  "version": "1.6.4",
   "description": "CLI для завантаження cursor-правил (префікс n-) у локальний репозиторій",
   "keywords": [
     "cli",

package/scripts/check-bun.mjs

@@ -1,3 +1,9 @@
+/**
+ * Перевіряє відповідність репозиторію правилам Bun (n-bun.mdc).
+ *
+ * Очікує наявність `bun.lock`, забороняє lockfile та артефакти yarn/pnpm, директорію `.yarn`
+ * і поле `packageManager` у кореневому `package.json`.
+ */
 import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
 

package/scripts/check-ga.mjs

@@ -1,8 +1,21 @@
+/**
+ * Перевіряє GitHub Actions за правилом ga.mdc.
+ *
+ * Workflows лише з розширенням `.yml`, наявність clean/lint workflow, конфіг zizmor з ref-pin,
+ * відсутність MegaLinter, коректний скрипт `lint-ga` у `package.json` і виклик у `lint-ga.yml`.
+ */
 import { existsSync } from 'node:fs'
 import { readdir, readFile } from 'node:fs/promises'
+import { join } from 'node:path'
 
 import { pass } from './utils/pass.mjs'
 
+/** Шаблони наявності MegaLinter у вмісті workflow */
+const MEGALINTER_USE_PATTERNS = [/oxsecurity\/megalinter-action/i, /megalinter\/megalinter/i]
+
+/** Типові конфіги MegaLinter у корені репо */
+const MEGALINTER_CONFIG_NAMES = ['.mega-linter.yml', '.megalinter.yaml', '.mega-linter.yaml']
+
 /**
  * Перевіряє відповідність проєкту правилам ga.mdc
  * @returns {Promise<number>} 0 — все OK, 1 — є проблеми
@@ -67,5 +80,76 @@ export async function check() {
     fail('.vscode/extensions.json не існує')
   }
 
+  const ymlWorkflows = files.filter(f => f.endsWith('.yml'))
+  let foundMegalinter = false
+  for (const f of ymlWorkflows) {
+    const content = await readFile(join(wfDir, f), 'utf8')
+    if (MEGALINTER_USE_PATTERNS.some(re => re.test(content))) {
+      foundMegalinter = true
+      fail(`MegaLinter у workflow ${wfDir}/${f} — видали інтеграцію (ga.mdc: MegaLinter)`)
+    }
+  }
+
+  for (const name of MEGALINTER_CONFIG_NAMES) {
+    if (existsSync(name)) {
+      foundMegalinter = true
+      fail(`Файл ${name} — видали конфіг MegaLinter (ga.mdc: MegaLinter)`)
+    }
+  }
+
+  if (!foundMegalinter) {
+    pass('Залишків MegaLinter не виявлено')
+  }
+
+  const zizmorPath = '.github/zizmor.yml'
+  if (existsSync(zizmorPath)) {
+    const z = await readFile(zizmorPath, 'utf8')
+    pass(`${zizmorPath} існує`)
+    if (z.includes('ref-pin')) {
+      pass(`${zizmorPath} містить політику ref-pin (zizmor)`)
+    } else {
+      fail(`${zizmorPath}: додай policies ref-pin для unpinned-uses (ga.mdc)`)
+    }
+  } else {
+    fail(`Відсутній ${zizmorPath} — потрібен для zizmor (ga.mdc)`)
+  }
+
+  if (existsSync('package.json')) {
+    const pkg = JSON.parse(await readFile('package.json', 'utf8'))
+    const lg = pkg.scripts?.['lint-ga']
+    if (typeof lg === 'string') {
+      pass('package.json містить lint-ga')
+      if (lg.includes('node-actionlint')) {
+        pass('lint-ga викликає node-actionlint')
+      } else {
+        fail('lint-ga має містити bunx node-actionlint (ga.mdc)')
+      }
+      if (lg.includes('zizmor') && lg.includes('--offline')) {
+        pass('lint-ga викликає zizmor з --offline')
+      } else {
+        fail('lint-ga має містити zizmor і --offline (ga.mdc)')
+      }
+    } else {
+      fail('package.json: додай скрипт "lint-ga" (ga.mdc)')
+    }
+  } else {
+    fail('package.json не існує — потрібен lint-ga у scripts')
+  }
+
+  const lintGaWf = join(wfDir, 'lint-ga.yml')
+  if (existsSync(lintGaWf)) {
+    const lgContent = await readFile(lintGaWf, 'utf8')
+    if (lgContent.includes('bun run lint-ga')) {
+      pass('lint-ga.yml викликає bun run lint-ga')
+    } else {
+      fail('lint-ga.yml: крок має містити bun run lint-ga')
+    }
+    if (lgContent.includes('astral-sh/setup-uv')) {
+      pass('lint-ga.yml містить astral-sh/setup-uv')
+    } else {
+      fail('lint-ga.yml: додай astral-sh/setup-uv для uvx zizmor (ga.mdc)')
+    }
+  }
+
   return exitCode
 }

package/scripts/check-js-format.mjs

@@ -1,3 +1,8 @@
+/**
+ * Перевіряє форматування коду за правилом js-format.mdc.
+ *
+ * `.oxfmtrc.json` з потрібними ключами, VSCode і oxfmt, відсутність Prettier у конфігах і залежностях.
+ */
 import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
 

package/scripts/check-js-lint.mjs

@@ -1,3 +1,9 @@
+/**
+ * Перевіряє лінт JavaScript за правилом js-lint.mdc.
+ *
+ * Flat ESLint, скрипт `lint-js` (oxlint, eslint, jscpd), `engines.node`, без prettier,
+ * наявність `.jscpd.json` і workflow `lint-js.yml`.
+ */
 import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
 
@@ -27,15 +33,43 @@ export async function check() {
 
     if (pkg.scripts?.['lint-js']) {
       pass('package.json містить скрипт lint-js')
-      if (String(pkg.scripts['lint-js']).includes('jscpd')) {
+      const lintJs = String(pkg.scripts['lint-js'])
+      if (lintJs.includes('jscpd')) {
         pass('lint-js містить jscpd')
       } else {
         fail('lint-js має викликати jscpd — додай "&& bunx jscpd ." у кінець скрипта')
       }
+      if (lintJs.includes('bunx eslint')) {
+        pass('lint-js викликає bunx eslint')
+      } else {
+        fail('lint-js має містити bunx eslint (n-js-lint.mdc)')
+      }
+      if (lintJs.includes('bunx jscpd')) {
+        pass('lint-js викликає bunx jscpd')
+      } else {
+        fail('lint-js має містити bunx jscpd (n-js-lint.mdc)')
+      }
+      if (lintJs.includes('oxlint')) {
+        pass('lint-js містить oxlint')
+      } else {
+        fail('lint-js має містити oxlint (n-js-lint.mdc)')
+      }
     } else {
       fail('package.json не містить скрипт "lint-js" — додай: "oxlint --fix && bunx eslint --fix . && bunx jscpd ."')
     }
 
+    const allDeps = { ...pkg.dependencies, ...pkg.devDependencies }
+    if (allDeps.prettier) {
+      fail('package.json: видали залежність prettier (oxfmt замість prettier, n-js-lint.mdc)')
+    } else {
+      pass('package.json не містить prettier')
+    }
+    if (allDeps['@nitra/prettier-config']) {
+      fail('package.json: видали @nitra/prettier-config (n-js-lint.mdc)')
+    } else {
+      pass('package.json не містить @nitra/prettier-config')
+    }
+
     if (pkg.devDependencies?.['@nitra/eslint-config']) {
       pass('@nitra/eslint-config є в devDependencies')
     } else {

package/scripts/check-js-pino.mjs

@@ -1,10 +1,55 @@
+/**
+ * Для кожного workspace-пакета перевіряє правило js-pino.mdc.
+ *
+ * Заборона bunyan на користь pino та наявність `OTEL_RESOURCE_ATTRIBUTES` у `k8s/base/configmap.yaml`,
+ * якщо такий файл існує.
+ */
 import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
+import { join } from 'node:path'
 
 import { pass } from './utils/pass.mjs'
+import { getMonorepoPackageRootDirs } from './utils/workspaces.mjs'
+
+/**
+ * Перевіряє відповідність правилам js-pino.mdc для одного workspace-пакета.
+ * @param {string} rootDir відносний шлях workspace (не `'.'`)
+ * @param {(msg: string) => void} fail функція зворотного виклику для реєстрації помилки перевірки
+ * @returns {Promise<void>} завершується після перевірок цього пакета
+ */
+async function checkWorkspacePackage(rootDir, fail) {
+  const label = `[${rootDir}] `
+  const pkgPath = join(rootDir, 'package.json')
+  if (existsSync(pkgPath)) {
+    const pkg = JSON.parse(await readFile(pkgPath, 'utf8'))
+    const allDeps = { ...pkg.dependencies, ...pkg.devDependencies }
+
+    if (allDeps['@nitra/bunyan']) {
+      fail(`${label}@nitra/bunyan знайдено — замінити на @nitra/pino`)
+    }
+    if (allDeps.bunyan) {
+      fail(`${label}bunyan знайдено — замінити на @nitra/pino`)
+    }
+  }
+
+  const configmapPath = join(rootDir, 'k8s/base/configmap.yaml')
+  if (existsSync(configmapPath)) {
+    const content = await readFile(configmapPath, 'utf8')
+    if (content.includes('OTEL_RESOURCE_ATTRIBUTES')) {
+      pass(`${label}k8s/base/configmap.yaml містить OTEL_RESOURCE_ATTRIBUTES`)
+      if (content.includes('service.name=') && content.includes('service.namespace=')) {
+        pass(`${label}OTEL_RESOURCE_ATTRIBUTES містить service.name та service.namespace`)
+      } else {
+        fail(`${label}OTEL_RESOURCE_ATTRIBUTES має містити service.name=<name>,service.namespace=<namespace>`)
+      }
+    } else {
+      fail(`${label}k8s/base/configmap.yaml не містить OTEL_RESOURCE_ATTRIBUTES`)
+    }
+  }
+}
 
 /**
- * Перевіряє відповідність проєкту правилам js-pino.mdc
+ * Перевіряє відповідність проєкту правилам js-pino.mdc лише для workspace-пакетів (не корінь репо).
  * @returns {Promise<number>} 0 — все OK, 1 — є проблеми
  */
 export async function check() {
@@ -14,26 +59,16 @@ export async function check() {
     exitCode = 1
   }
 
-  if (existsSync('package.json')) {
-    const pkg = JSON.parse(await readFile('package.json', 'utf8'))
-    const allDeps = { ...pkg.dependencies, ...pkg.devDependencies }
+  const roots = await getMonorepoPackageRootDirs()
+  const workspaceRoots = roots.filter(r => r !== '.')
 
-    if (allDeps['@nitra/bunyan']) fail('@nitra/bunyan знайдено — замінити на @nitra/pino')
-    if (allDeps.bunyan) fail('bunyan знайдено — замінити на @nitra/pino')
+  if (workspaceRoots.length === 0) {
+    pass('js-pino: немає workspace-пакетів у кореневому package.json — перевірку залежностей і k8s у пакетах пропущено')
+    return exitCode
   }
 
-  if (existsSync('k8s/base/configmap.yaml')) {
-    const content = await readFile('k8s/base/configmap.yaml', 'utf8')
-    if (content.includes('OTEL_RESOURCE_ATTRIBUTES')) {
-      pass('k8s/base/configmap.yaml містить OTEL_RESOURCE_ATTRIBUTES')
-      if (content.includes('service.name=') && content.includes('service.namespace=')) {
-        pass('OTEL_RESOURCE_ATTRIBUTES містить service.name та service.namespace')
-      } else {
-        fail('OTEL_RESOURCE_ATTRIBUTES має містити service.name=<name>,service.namespace=<namespace>')
-      }
-    } else {
-      fail('k8s/base/configmap.yaml не містить OTEL_RESOURCE_ATTRIBUTES')
-    }
+  for (const r of workspaceRoots) {
+    await checkWorkspacePackage(r, fail)
   }
 
   return exitCode

package/scripts/check-nginx-default-tpl.mjs

@@ -1,3 +1,9 @@
+/**
+ * Перевіряє шаблон nginx за правилом nginx-default-tpl.mdc.
+ *
+ * Правильна назва файлу, `listen 8080`, `/healthz`, `gzip_static`, без `proxy_pass` у шаблоні,
+ * рекомендації VSCode для nginx.
+ */
 import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
 

package/scripts/check-npm-module.mjs

@@ -1,3 +1,8 @@
+/**
+ * Перевіряє структуру npm-модуля в монорепо за правилом npm-module.mdc.
+ *
+ * Workspace `npm/`, `npm/package.json`, workflow `npm-publish.yml` з OIDC і шляхом до пакета.
+ */
 import { existsSync } from 'node:fs'
 import { readFile, stat } from 'node:fs/promises'
 
@@ -53,5 +58,28 @@ export async function check() {
     fail('.github/workflows/ не існує')
   }
 
+  const publishWf = '.github/workflows/npm-publish.yml'
+  if (existsSync(publishWf)) {
+    pass(`${publishWf} існує`)
+    const pub = await readFile(publishWf, 'utf8')
+    const need = [
+      { sub: 'npm/**', msg: `${publishWf}: у on.push.paths має бути npm/**` },
+      { sub: 'branches:', msg: `${publishWf}: очікується on.push.branches` },
+      { sub: 'main', msg: `${publishWf}: очікується branch main` },
+      { sub: 'id-token: write', msg: `${publishWf}: permissions має містити id-token: write (OIDC)` },
+      { sub: 'JS-DevTools/npm-publish', msg: `${publishWf}: очікується uses: JS-DevTools/npm-publish` },
+      { sub: 'package: npm/package.json', msg: `${publishWf}: with.package має бути npm/package.json` }
+    ]
+    for (const { sub, msg } of need) {
+      if (pub.includes(sub)) {
+        pass(`${publishWf} містить «${sub}»`)
+      } else {
+        fail(msg)
+      }
+    }
+  } else {
+    fail(`Відсутній ${publishWf} (npm-module.mdc: npm publish)`)
+  }
+
   return exitCode
 }

package/scripts/check-style-lint.mjs

@@ -1,3 +1,9 @@
+/**
+ * Перевіряє CSS/SCSS лінт за правилом style-lint.mdc.
+ *
+ * `@nitra/stylelint-config`, скрипт `lint-style`, `.stylelintignore`, workflow `lint-style.yml`,
+ * VSCode stylelint і вимкнена вбудована CSS-валідація.
+ */
 import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
 

package/scripts/check-text.mjs

@@ -1,3 +1,9 @@
+/**
+ * Перевіряє текстовий стек за правилом text.mdc.
+ *
+ * cspell, markdownlint-cli2, скрипт `lint-text` з чотирма викликами v8r, workflow `lint-text.yml`,
+ * розширення VSCode для markdownlint.
+ */
 import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
 
@@ -90,7 +96,7 @@ export async function check() {
     if (devDeps['markdownlint-cli2']) {
       pass('markdownlint-cli2 є в devDependencies')
     } else {
-      fail('markdownlint-cli2 відсутній — bun add -d markdownlint-cli2')
+      fail('markdownlint-cli2 відсутній — bun add -d markdownlint-cli2 (n-text.mdc)')
     }
 
     const lintText = pkg.scripts?.['lint-text']
@@ -99,7 +105,7 @@ export async function check() {
     if (
       typeof lintText === 'string' &&
       lintText.includes('cspell') &&
-      lintText.includes('markdownlint-cli2') &&
+      lintText.includes('bunx markdownlint-cli2') &&
       lintText.includes('**/*.mdc') &&
       v8rCalls >= 4 &&
       eq98Hints >= 4 &&

package/scripts/check-vue.mjs

@@ -1,10 +1,104 @@
+/**
+ * Знаходить пакети з `vue` у dependencies і перевіряє їх за правилом vue.mdc.
+ *
+ * Версії Vite та плагінів, vue-macros, auto-import, layouts, вміст `vite.config`;
+ * у репозиторії — рекомендацію розширення Vue.volar.
+ */
 import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
+import { join } from 'node:path'
 
 import { pass } from './utils/pass.mjs'
+import { getMonorepoPackageRootDirs } from './utils/workspaces.mjs'
+
+/**
+ * Формує зрозумілий для людини підпис пакета для повідомлень перевірки.
+ * @param {string} rootDir відносний шлях (`'.'` або `site` тощо)
+ * @returns {string} підпис для логів перевірки
+ */
+function packageLabel(rootDir) {
+  return rootDir === '.' ? 'корінь' : rootDir
+}
+
+/**
+ * Перевіряє залежності та vite.config одного Vue-пакета.
+ * @param {string} rootDir відносний шлях до пакета
+ * @param {(msg: string) => void} fail функція зворотного виклику для реєстрації помилки перевірки
+ * @returns {Promise<void>} завершується після перевірок залежностей і Vite
+ */
+async function checkVuePackage(rootDir, fail) {
+  const label = packageLabel(rootDir)
+  const prefix = `[${label}] `
+
+  const pkgPath = join(rootDir, 'package.json')
+  const pkg = JSON.parse(await readFile(pkgPath, 'utf8'))
+  const deps = pkg.dependencies || {}
+  const devDeps = pkg.devDependencies || {}
+  const allDeps = { ...deps, ...devDeps }
+
+  if (deps.vue) {
+    pass(`${prefix}vue в dependencies: ${deps.vue}`)
+  } else {
+    fail(`${prefix}vue відсутній в dependencies`)
+  }
+
+  if (devDeps.vite) {
+    const match = devDeps.vite.match(/(\d+)/)
+    if (match && Number(match[1]) >= 8) {
+      pass(`${prefix}vite >= 8: ${devDeps.vite}`)
+    } else {
+      fail(`${prefix}vite має бути >= 8, знайдено: ${devDeps.vite}`)
+    }
+  } else {
+    fail(`${prefix}vite відсутній в devDependencies`)
+  }
+
+  if (devDeps['@vitejs/plugin-vue']) {
+    pass(`${prefix}@vitejs/plugin-vue: ${devDeps['@vitejs/plugin-vue']}`)
+  } else {
+    fail(`${prefix}@vitejs/plugin-vue відсутній в devDependencies`)
+  }
+
+  if (allDeps['vue-macros']) {
+    pass(`${prefix}vue-macros: ${allDeps['vue-macros']}`)
+  } else {
+    fail(`${prefix}vue-macros відсутній — bun add -d vue-macros`)
+  }
+
+  if (allDeps['unplugin-auto-import']) {
+    pass(`${prefix}unplugin-auto-import присутній`)
+  } else {
+    fail(`${prefix}unplugin-auto-import відсутній — bun add -d unplugin-auto-import`)
+  }
+
+  if (allDeps['vite-plugin-vue-layouts-next']) {
+    pass(`${prefix}vite-plugin-vue-layouts-next присутній`)
+  } else {
+    fail(`${prefix}vite-plugin-vue-layouts-next відсутній — bun add -d vite-plugin-vue-layouts-next`)
+  }
+
+  const configFiles = ['vite.config.js', 'vite.config.ts', 'vite.config.mjs']
+  const viteConfig = configFiles.find(f => existsSync(join(rootDir, f)))
+  if (viteConfig) {
+    const relConfig = join(rootDir, viteConfig)
+    const content = await readFile(relConfig, 'utf8')
+    if (content.includes('VueMacros')) {
+      pass(`${prefix}${viteConfig} використовує VueMacros`)
+    } else {
+      fail(`${prefix}${viteConfig} не містить VueMacros`)
+    }
+    if (content.includes('AutoImport')) {
+      pass(`${prefix}${viteConfig} використовує AutoImport`)
+    } else {
+      fail(`${prefix}${viteConfig} не містить AutoImport`)
+    }
+  } else {
+    fail(`${prefix}немає vite.config.js|ts|mjs у каталозі пакета`)
+  }
+}
 
 /**
- * Перевіряє відповідність проєкту правилам vue.mdc
+ * Перевіряє відповідність проєкту правилам vue.mdc (корінь і всі workspace-пакети з `vue` у dependencies).
  * @returns {Promise<number>} 0 — все OK, 1 — є проблеми
  */
 export async function check() {
@@ -25,70 +119,24 @@ export async function check() {
     fail('.vscode/extensions.json не існує')
   }
 
-  if (existsSync('package.json')) {
-    const pkg = JSON.parse(await readFile('package.json', 'utf8'))
-    const deps = pkg.dependencies || {}
-    const devDeps = pkg.devDependencies || {}
-    const allDeps = { ...deps, ...devDeps }
-
-    if (deps.vue) {
-      pass(`vue в dependencies: ${deps.vue}`)
-    } else {
-      fail('vue відсутній в dependencies')
-    }
-
-    if (devDeps.vite) {
-      const match = devDeps.vite.match(/(\d+)/)
-      if (match && Number(match[1]) >= 8) {
-        pass(`vite >= 8: ${devDeps.vite}`)
-      } else {
-        fail(`vite має бути >= 8, знайдено: ${devDeps.vite}`)
-      }
-    } else {
-      fail('vite відсутній в devDependencies')
-    }
-
-    if (devDeps['@vitejs/plugin-vue']) {
-      pass(`@vitejs/plugin-vue: ${devDeps['@vitejs/plugin-vue']}`)
-    } else {
-      fail('@vitejs/plugin-vue відсутній в devDependencies')
-    }
-
-    if (allDeps['vue-macros']) {
-      pass(`vue-macros: ${allDeps['vue-macros']}`)
-    } else {
-      fail('vue-macros відсутній — bun add -d vue-macros')
-    }
-
-    if (allDeps['unplugin-auto-import']) {
-      pass('unplugin-auto-import присутній')
-    } else {
-      fail('unplugin-auto-import відсутній — bun add -d unplugin-auto-import')
+  const roots = await getMonorepoPackageRootDirs()
+  /** @type {string[]} */
+  const vueRoots = []
+  for (const r of roots) {
+    const p = join(r, 'package.json')
+    if (existsSync(p)) {
+      const pkg = JSON.parse(await readFile(p, 'utf8'))
+      if (pkg.dependencies?.vue) vueRoots.push(r)
     }
+  }
 
-    if (allDeps['vite-plugin-vue-layouts-next']) {
-      pass('vite-plugin-vue-layouts-next присутній')
-    } else {
-      fail('vite-plugin-vue-layouts-next відсутній — bun add -d vite-plugin-vue-layouts-next')
-    }
+  if (vueRoots.length === 0) {
+    fail('vue не знайдено в dependencies жодного пакета (корінь репо та каталоги з кореневого workspaces)')
+    return exitCode
   }
 
-  const configFiles = ['vite.config.js', 'vite.config.ts', 'vite.config.mjs']
-  const viteConfig = configFiles.find(f => existsSync(f))
-  if (viteConfig) {
-    const content = await readFile(viteConfig, 'utf8')
-    if (content.includes('VueMacros')) {
-      pass('vite.config використовує VueMacros')
-    } else {
-      fail(`${viteConfig} не містить VueMacros`)
-    }
-    if (content.includes('AutoImport')) {
-      pass('vite.config використовує AutoImport')
-    } else {
-      fail(`${viteConfig} не містить AutoImport`)
-    }
-  } else {
-    fail('vite.config.js не існує')
+  for (const r of vueRoots) {
+    await checkVuePackage(r, fail)
   }
 
   return exitCode

package/scripts/utils/pass.mjs

@@ -1,5 +1,7 @@
 /**
- * Логує успішний результат перевірки (рядок з галочкою)
+ * Допоміжна функція для скриптів перевірки.
+ *
+ * Друкує в консоль рядок успіху з галочкою (✅).
  * @param {string} msg текст повідомлення
  */
 export function pass(msg) {

package/scripts/utils/workspaces.mjs

@@ -0,0 +1,58 @@
+/**
+ * Допоміжний модуль для скриптів перевірки монорепо.
+ *
+ * Зчитує кореневий `package.json` і повертає список каталогів-пакетів (корінь `.` плюс шляхи
+ * з `workspaces`, з урахуванням glob).
+ */
+import { existsSync } from 'node:fs'
+import { glob, readFile } from 'node:fs/promises'
+import { dirname, join, relative } from 'node:path'
+
+/**
+ * Нормалізує поле `workspaces` з package.json до масиву шляхів / glob-патернів.
+ * @param {unknown} workspaces значення `workspaces` з кореневого package.json
+ * @returns {string[]} масив патернів workspaces
+ */
+export function normalizeWorkspacePatterns(workspaces) {
+  if (!workspaces) return []
+  if (Array.isArray(workspaces)) return workspaces
+  if (typeof workspaces === 'object' && workspaces !== null && Array.isArray(workspaces.packages)) {
+    return workspaces.packages
+  }
+  return []
+}
+
+/**
+ * Повертає каталоги з `package.json`: корінь репозиторію та всі пакети з `workspaces`.
+ * @param {string} repoRoot зазвичай `process.cwd()`
+ * @returns {Promise<string[]>} відносні шляхи до коренів пакетів; `'.'` першим, без дублікатів
+ */
+export async function getMonorepoPackageRootDirs(repoRoot = '.') {
+  const roots = new Set(['.'])
+  const rootPkgPath = join(repoRoot, 'package.json')
+  if (!existsSync(rootPkgPath)) {
+    return ['.']
+  }
+  const pkg = JSON.parse(await readFile(rootPkgPath, 'utf8'))
+  for (const raw of normalizeWorkspacePatterns(pkg.workspaces)) {
+    const w = raw.replaceAll('\\', '/').replace(/\/+$/, '') || '.'
+    if (w.includes('*')) {
+      const globPat = `${w}/package.json`
+      for await (const f of glob(globPat, { cwd: repoRoot })) {
+        const abs = join(repoRoot, f)
+        const rel = relative(repoRoot, dirname(abs))
+        roots.add(rel === '' ? '.' : rel)
+      }
+    } else {
+      const pkgJson = join(repoRoot, w, 'package.json')
+      if (existsSync(pkgJson)) roots.add(w)
+    }
+  }
+  const list = [...roots]
+  list.sort((a, b) => {
+    if (a === '.') return -1
+    if (b === '.') return 1
+    return a.localeCompare(b)
+  })
+  return list
+}