@nitra/cursor 1.8.125 → 1.8.128

package/mdc/abie.mdc

@@ -222,7 +222,7 @@ patches:
         path: /spec/template/spec/containers/-
         value:
           name: СЕРВІС-p
-          image: nginx:1.27-alpine
+          image: nginx:alpine
           ports:
             - containerPort: 8081
               protocol: TCP

package/mdc/docker.mdc

@@ -1,6 +1,6 @@
 ---
 description: Dockerfile — lint-docker / hadolint; перевірка check-docker
-version: '1.7'
+version: '1.8'
 globs: "**/Dockerfile*"
 alwaysApply: false
 ---
@@ -9,6 +9,15 @@ alwaysApply: false
 
 [hadolint](https://github.com/hadolint/hadolint) перевіряє Dockerfile на типові помилки та рекомендації (`FROM`, `RUN`, `COPY`, shell form тощо).
 
+Для образів з Docker Hub — **`oven/bun`**, **`alpine`**, **`nginx`**, **`node`** — у **`FROM`** треба вказувати дзеркало GCR, а не pull напряму з Hub: **`mirror.gcr.io/oven/bun`**, **`mirror.gcr.io/library/alpine`**, **`mirror.gcr.io/library/nginx`**, **`mirror.gcr.io/library/node`**. Перевіряє **`check-docker.mjs`**, деталі в **`npm/scripts/utils/docker-mirror.mjs`**.
+
+Також Dockerfile/Containerfile **має бути multistage build**: окремий build stage (залежності/компіляція) і окремий runtime stage. У фінальному stage дозволені лише мінімальні базові образи:
+
+- **backend**: `mirror.gcr.io/library/alpine:*`
+- **frontend**: `mirror.gcr.io/library/nginx:*`
+
+Це гарантує, що результуючий образ містить лише runtime (alpine) або nginx, без build tooling і node_modules.
+
 ## Область
 
 - Усі файли з іменем **`Dockerfile`** або **`Dockerfile.*`** (наприклад `Dockerfile.prod`) у репозиторії, крім ігнорованих каталогів (`node_modules`, `.git`, `dist`, …) — як у **`check-docker.mjs`**.

package/mdc/ga.mdc

@@ -149,8 +149,36 @@ jobs:
 }
 ```
 
+У **`.vscode/settings.json`** для мови **`github-actions-workflow`** (workflow з розширення GitHub Actions) задай **oxc** як formatter:
+
+```json
+  "[github-actions-workflow]": {
+    "editor.defaultFormatter": "oxc.oxc-vscode"
+  }
+```
+
 **ЗАБОРОНЕНО** дублювати кроки встановлення Bun та кешування безпосередньо у workflow файлах. Завжди використовуй локальний composite action.
 
+**Кроки `run`:** не розбивай команду shell-продовженням через зворотний сліш у кінці рядка (`… \` у `run: |`). Замість багаторядкового буквального блока з `\\` оформ довгу одну shell-команду як **folded block** `>-` (рядки з’єднаються в один рядок із пробілами).
+
+### Приклад run (НЕПРАВИЛЬНО — `\\` на кінцях)
+
+```yaml
+      - run: |
+          docker build \
+          --push \
+          --build-arg BRANCH=${{ github.ref_name }}
+```
+
+### Приклад run (ПРАВИЛЬНО — `>-`)
+
+```yaml
+      - run: >-
+          docker build
+          --push
+          --build-arg BRANCH=${{ github.ref_name }}
+```
+
 ### Приклад (НЕПРАВИЛЬНО)
 
 ```yaml

package/mdc/k8s.mdc

@@ -129,7 +129,7 @@ resources:
 
 ```yaml
 # yaml-language-server: $schema=https://datreeio.github.io/CRDs-catalog/gateway.networking.k8s.io/httproute_v1beta1.json
-apiVersion: gateway.networking.k8s.io/v1beta1
+apiVersion: gateway.networking.k8s.io/v1
 kind: HTTPRoute
 metadata:
   name: db-h
@@ -298,6 +298,8 @@ data:
 
 **Локальні шляхи в `kustomization.yaml`:** кожен запис без `://` (remote) з `resources` / `bases` / `components` / `crds`, `patchesStrategicMerge`, `patches[].path`, `patchesJson6902[].path`, `configurations[]`, `replacements[].path` має вказувати на **існуючий** у репозиторії файл (`.yaml` / `.yml`) або **каталог**; биті посилання — помилка **`check k8s`**.
 
+**Порядок `resources`:** у маніфесті з **`apiVersion: kustomize.config.k8s.io/…`**, **`kind: Kustomization`**, елементи **`resources:`** (лише непорожні рядки) мають бути **відсортовані за алфавітом (англ. локаль, як `localeCompare('en')` у `check-k8s.mjs`)**. Поля **`bases`**, **`components`**, **`crds`** цією перевіркою **не** впорядковуються.
+
 ### Env-залежні межі (за сегментом після `/k8s/`)
 
 **Dev-like середовища** — сегмент `base`, `dev`, або з суфіксом `-qa` (напр. `tr-qa`):
@@ -490,7 +492,7 @@ patches:
    # yaml-language-server: $schema=https://raw.githubusercontent.com/datreeio/CRDs-catalog/main/secrets.infisical.com/infisicalsecret_v1alpha1.json
    ```
 
-   **Приклад (Gateway API):** `apiVersion: gateway.networking.k8s.io/v1beta1`, `kind: HTTPRoute`:
+   **Приклад (Gateway API):** `apiVersion: gateway.networking.k8s.io/v1`, `kind: HTTPRoute`:
 
    ```yaml
    # yaml-language-server: $schema=https://datreeio.github.io/CRDs-catalog/gateway.networking.k8s.io/httproute_v1beta1.json

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nitra/cursor",
-  "version": "1.8.125",
+  "version": "1.8.128",
   "description": "CLI для завантаження cursor-правил (префікс n-) у локальний репозиторій",
   "keywords": [
     "cli",

package/scripts/check-abie.mjs

@@ -225,6 +225,20 @@ export function isAllowedAbieBaseDevHostname(hostname) {
   return false
 }
 
+/**
+ * @param {unknown} hostnames значення поля spec.hostnames
+ * @returns {string[]} непорожні рядки-хости
+ */
+function collectAbieHostnames(hostnames) {
+  if (Array.isArray(hostnames)) {
+    return hostnames.filter(h => typeof h === 'string' && h.trim() !== '')
+  }
+  if (typeof hostnames === 'string' && hostnames.trim() !== '') {
+    return [hostnames]
+  }
+  return []
+}
+
 /**
  * Повідомлення про недопустимі **spec.hostnames** у **HTTPRoute** у шляху **…/base/…** (abie.mdc).
  * @param {unknown} obj корінь YAML-документа
@@ -232,49 +246,23 @@ export function isAllowedAbieBaseDevHostname(hostname) {
  * @returns {string[]} порожньо, якщо перевірка не застосовується або hostnames коректні
  */
 export function abieBaseHttpRouteHostnamesErrors(obj, rel) {
-  if (!isAbieK8sBaseYamlPath(rel)) {
-    return []
-  }
-  if (obj === null || typeof obj !== 'object' || Array.isArray(obj)) {
-    return []
-  }
+  if (!isAbieK8sBaseYamlPath(rel)) return []
+  if (obj === null || typeof obj !== 'object' || Array.isArray(obj)) return []
   const rec = /** @type {Record<string, unknown>} */ (obj)
-  if (rec.kind !== 'HTTPRoute') {
-    return []
-  }
+  if (rec.kind !== 'HTTPRoute') return []
   const spec = rec.spec
-  if (spec === null || typeof spec !== 'object' || Array.isArray(spec)) {
-    return []
-  }
+  if (spec === null || typeof spec !== 'object' || Array.isArray(spec)) return []
   const hostnames = /** @type {Record<string, unknown>} */ (spec).hostnames
-  if (hostnames === undefined) {
-    return []
-  }
-  /** @type {string[]} */
-  const hosts = []
-  if (Array.isArray(hostnames)) {
-    for (const h of hostnames) {
-      if (typeof h === 'string' && h.trim() !== '') {
-        hosts.push(h)
-      }
-    }
-  } else if (typeof hostnames === 'string' && hostnames.trim() !== '') {
-    hosts.push(hostnames)
-  }
-  if (hosts.length === 0) {
-    return []
-  }
+  if (hostnames === undefined) return []
+  const hosts = collectAbieHostnames(hostnames)
+  if (hosts.length === 0) return []
   const root = ABIE_BASE_DEV_HTTPROUTE_HOST_ROOT
-  /** @type {string[]} */
-  const errors = []
-  for (const h of hosts) {
-    if (!isAllowedAbieBaseDevHostname(h)) {
-      errors.push(
+  return hosts
+    .filter(h => !isAllowedAbieBaseDevHostname(h))
+    .map(
+      h =>
         `${rel}: HTTPRoute у base (dev): hostname "${h}" недопустимий — дозволені лише ${root} та піддомени, зокрема *.${root} (abie.mdc)`
-      )
-    }
-  }
-  return errors
+    )
 }
 
 /**
@@ -1591,6 +1579,37 @@ async function checkHttpRouteKustomization(abs, rel, mode, root, yamlFilesAbs, c
   return true
 }
 
+/**
+ * @param {unknown} json YAML-документ
+ * @returns {boolean} true, якщо HTTPRoute має непорожні spec.hostnames
+ */
+function httpRouteHasNonEmptyHostnames(json) {
+  if (json === null || typeof json !== 'object' || Array.isArray(json)) return false
+  const rec = /** @type {Record<string, unknown>} */ (json)
+  if (rec.kind !== 'HTTPRoute') return false
+  const spec = rec.spec
+  if (spec === null || typeof spec !== 'object' || Array.isArray(spec)) return false
+  const hostnames = /** @type {Record<string, unknown>} */ (spec).hostnames
+  return collectAbieHostnames(hostnames).length > 0
+}
+
+/**
+ * @param {import('yaml').Document} doc YAML-документ з файлу
+ * @param {string} rel відносний шлях для повідомлень
+ * @param {(msg: string) => void} fail callback при помилці
+ * @returns {{ hasErrors: boolean, hasHostnames: boolean }} результат обробки документа
+ */
+function processBaseHttpRouteDoc(doc, rel, fail) {
+  if (doc.errors.length !== 0) return { hasErrors: false, hasHostnames: false }
+  const json = doc.toJSON()
+  const errs = abieBaseHttpRouteHostnamesErrors(json, rel)
+  if (errs.length > 0) {
+    for (const e of errs) fail(e)
+    return { hasErrors: true, hasHostnames: false }
+  }
+  return { hasErrors: false, hasHostnames: httpRouteHasNonEmptyHostnames(json) }
+}
+
 /**
  * Для кожного **HTTPRoute** у **`…/k8s/base/…`** з непорожніми **`spec.hostnames`** — лише **aiml.live** та піддомени (abie.mdc).
  * @param {string} root корінь репозиторію
@@ -1601,39 +1620,15 @@ async function checkHttpRouteKustomization(abs, rel, mode, root, yamlFilesAbs, c
  */
 async function ensureAbieBaseHttpRouteHostnames(root, yamlFilesAbs, fail, passFn) {
   let baseHttpRoutesWithHostnames = 0
-  for (const abs of yamlFilesAbs) {
+  const baseFiles = yamlFilesAbs.filter(abs => isAbieK8sBaseYamlPath(relative(root, abs).replaceAll('\\', '/') || abs))
+  for (const abs of baseFiles) {
     const rel = relative(root, abs).replaceAll('\\', '/') || abs
-    if (isAbieK8sBaseYamlPath(rel)) {
-      const docs = await readAndParseYamlDocs(abs, rel, fail)
-      if (!docs) {
-        return
-      }
-      for (const doc of docs) {
-        if (doc.errors.length === 0) {
-          const json = doc.toJSON()
-          const errs = abieBaseHttpRouteHostnamesErrors(json, rel)
-          if (errs.length > 0) {
-            for (const e of errs) {
-              fail(e)
-            }
-            return
-          }
-          if (json !== null && typeof json === 'object' && !Array.isArray(json)) {
-            const rec = /** @type {Record<string, unknown>} */ (json)
-            if (rec.kind === 'HTTPRoute') {
-              const spec = rec.spec
-              if (spec !== null && typeof spec === 'object' && !Array.isArray(spec)) {
-                const hostnames = /** @type {Record<string, unknown>} */ (spec).hostnames
-                if (Array.isArray(hostnames) && hostnames.some(h => typeof h === 'string' && h.trim() !== '')) {
-                  baseHttpRoutesWithHostnames++
-                } else if (typeof hostnames === 'string' && hostnames.trim() !== '') {
-                  baseHttpRoutesWithHostnames++
-                }
-              }
-            }
-          }
-        }
-      }
+    const docs = await readAndParseYamlDocs(abs, rel, fail)
+    if (!docs) return
+    for (const doc of docs) {
+      const { hasErrors, hasHostnames } = processBaseHttpRouteDoc(doc, rel, fail)
+      if (hasErrors) return
+      if (hasHostnames) baseHttpRoutesWithHostnames++
     }
   }
   if (baseHttpRoutesWithHostnames > 0) {
@@ -1685,7 +1680,6 @@ async function ensureUaRuAbieHttpRoutePatches(root, yamlFilesAbs, fail, passFn)
 /**
  * Перевіряє відсутність артефактів Firebase Hosting у **кожному** **підкаталозі першого рівня** від кореня
  * (не в самому корені репозиторію) — abie.mdc. Каталоги **`.git`** і **`node_modules`** у скануванні пропускаються.
- *
  * @param {string} root корінь репозиторію
  * @param {(msg: string) => void} passFn успішне повідомлення
  * @param {(msg: string) => void} failFn повідомлення про порушення
@@ -1700,9 +1694,7 @@ async function ensureNoFirebaseHostingArtifacts(root, passFn, failFn) {
     failFn(`Не вдалося прочитати ${root} для перевірки Firebase Hosting: ${msg} (abie.mdc)`)
     return
   }
-  const topDirs = entries.filter(
-    e => e.isDirectory() && !ABIE_FIREBASE_HOSTING_SCAN_SKIP_TOP_DIR_NAMES.has(e.name)
-  )
+  const topDirs = entries.filter(e => e.isDirectory() && !ABIE_FIREBASE_HOSTING_SCAN_SKIP_TOP_DIR_NAMES.has(e.name))
   let hasViolation = false
   for (const e of topDirs) {
     for (const name of ['.firebaserc', 'firebase.json']) {
@@ -1720,9 +1712,7 @@ async function ensureNoFirebaseHostingArtifacts(root, passFn, failFn) {
   if (hasViolation) {
     return
   }
-  passFn(
-    'Підкаталоги кореня (1-й рівень, без .git/node_modules): артефактів Firebase Hosting не знайдено (abie.mdc)'
-  )
+  passFn('Підкаталоги кореня (1-й рівень, без .git/node_modules): артефактів Firebase Hosting не знайдено (abie.mdc)')
 }
 
 /**

package/scripts/check-docker.mjs

@@ -1,16 +1,38 @@
 /**
  * Запускає hadolint для Dockerfile / Containerfile у всьому репозиторії (див. docker.mdc).
  *
+ * Додатково переконуються, що образи `oven/bun`, `alpine`, `nginx`, `node` з Docker Hub
+ * вказуються через `mirror.gcr.io` (див. `utils/docker-mirror.mjs`).
+ *
+ * Також перевіряє, що Dockerfile/Containerfile має **multistage build** і що фінальний stage
+ * використовує мінімальний runtime-образ:
+ * - backend: `mirror.gcr.io/library/alpine:*`
+ * - frontend: `mirror.gcr.io/library/nginx:*`
+ *
+ * Мета — щоб у фінальному образі не було build tooling (Bun/Node та залежностей), а лише
+ * runtime (alpine) або nginx.
+ *
  * Знаходить Dockerfile, Dockerfile.*, Containerfile, Containerfile.*; пропускає node_modules, .git
  * тощо. Спочатку hadolint з PATH, інакше docker run з образом hadolint/hadolint.
  * Кореневий .hadolint.yaml підхоплюється hadolint автоматично.
  */
+import { readFile } from 'node:fs/promises'
 import { basename } from 'node:path'
 
+import { getMirrorGcrHint, getFromImageToken } from './utils/docker-mirror.mjs'
 import { lintDockerfileWithHadolint, posixRel } from './utils/docker-hadolint.mjs'
 import { createCheckReporter } from './utils/check-reporter.mjs'
 import { walkDir } from './utils/walkDir.mjs'
 
+const NEWLINE_RE = /\r?\n/
+
+/**
+ * @typedef {{
+ *   line: number
+ *   image: string
+ * }} FromStage
+ */
+
 /**
  * Чи є basename Dockerfile / Containerfile (у т.ч. Dockerfile.prod).
  * @param {string} name basename шляху
@@ -37,6 +59,50 @@ export async function findDockerfilePaths(root) {
   return out.toSorted((a, b) => a.localeCompare(b))
 }
 
+/**
+ * Витягує всі `FROM <image>` зі вмісту Dockerfile/Containerfile.
+ * @param {string} fileContent вміст Dockerfile/Containerfile
+ * @returns {FromStage[]} список знайдених FROM-інструкцій
+ */
+export function parseFromStages(fileContent) {
+  const out = []
+  const lines = fileContent.split(NEWLINE_RE)
+  for (const [i, line] of lines.entries()) {
+    const image = getFromImageToken(line)
+    if (image) out.push({ line: i + 1, image })
+  }
+  return out
+}
+
+const RUNTIME_IMAGES = /** @type {const} */ (['mirror.gcr.io/library/alpine', 'mirror.gcr.io/library/nginx'])
+
+/**
+ * Перевіряє базові вимоги до структури Dockerfile:
+ * - multistage: мінімум 2 FROM
+ * - фінальний FROM: alpine або nginx з mirror.gcr.io
+ * @param {string} fileContent вміст Dockerfile/Containerfile
+ * @returns {string | null} повідомлення помилки або null
+ */
+export function getMultistageAndRuntimeHint(fileContent) {
+  const stages = parseFromStages(fileContent)
+  if (stages.length === 0) return null
+
+  if (stages.length < 2) {
+    return 'має бути multistage build: мінімум 2 інструкції FROM (build stage + runtime stage)'
+  }
+
+  const last = stages.at(-1)
+  const lastImage = (last?.image || '').split('@')[0] || ''
+  const lastLower = lastImage.toLowerCase()
+
+  const okRuntime = RUNTIME_IMAGES.some(img => lastLower.startsWith(`${img}:`) || lastLower === img)
+  if (!okRuntime) {
+    return `фінальний FROM має бути ${RUNTIME_IMAGES.join(' або ')} (runtime stage), зараз: ${last?.image} (рядок ${last?.line})`
+  }
+
+  return null
+}
+
 /**
  * Перевіряє Dockerfile / Containerfile через hadolint (docker.mdc).
  * @returns {Promise<number>} 0 — все OK, 1 — є зауваження або помилка запуску
@@ -57,6 +123,17 @@ export async function check() {
 
   for (const abs of files) {
     const rel = posixRel(root, abs) || basename(abs)
+    const content = await readFile(abs, 'utf8')
+    const hint = getMirrorGcrHint(content)
+    if (hint) {
+      fail(`${rel} (mirror.gcr.io): ${hint}`)
+    }
+
+    const multistageHint = getMultistageAndRuntimeHint(content)
+    if (multistageHint) {
+      fail(`${rel} (multistage): ${multistageHint}`)
+    }
+
     const { ok, stdout, stderr, via } = lintDockerfileWithHadolint(root, abs)
     const tail = (stdout + stderr).trim()
     if (ok) {

package/scripts/check-ga.mjs

@@ -4,11 +4,14 @@
  * Workflows лише з розширенням `.yml`, наявність clean/lint workflow, конфіг zizmor з ref-pin,
  * відсутність MegaLinter, коректний скрипт `lint-ga` у `package.json`, виклик у `lint-ga.yml`,
  * наявність composite `.github/actions/setup-bun-deps/action.yml` (його записує npx `\@nitra/cursor`),
+ * `\.vscode/settings.json` — `editor.defaultFormatter` **oxc** для `[github-actions-workflow]`,
  * перед `uses: ./…/setup-bun-deps` у workflow — `actions/checkout` (runner інакше не бачить локальний action).
  *
  * Заборонено дублювати кроки встановлення Bun та кешування безпосередньо у workflow файлах
  * (oven-sh/setup-bun, actions/cache, bun install). Перевірки `uses`/`run` виконуються після **YAML parse**
  * (`yaml`), щоб не спрацьовувати на випадкові збіги в коментарях або поза кроками.
+ *
+ * У `run:` заборонено shell-продовження рядків через `\\` перед переносом; довгі команди — через folded block `>-`.
  */
 import { existsSync } from 'node:fs'
 import { readdir, readFile } from 'node:fs/promises'
@@ -19,6 +22,7 @@ import {
   anyRunStepIncludes,
   eventPathsIncludeExact,
   findForbiddenUsesOrRunPatterns,
+  findRunStepsWithShellLineContinuationBackslash,
   hasAnyStepUsesContaining,
   hasCheckoutBeforeLocalSetupBunDeps,
   parseWorkflowYaml
@@ -117,6 +121,31 @@ function verifyNoDirectBunOrCache(relPath, content, failFn, passFn) {
   }
 }
 
+/**
+ * У кроках `run` заборонено shell-продовження через `\\` перед переносом; замість `run: |` з `\\` використовуй `run: >-`.
+ * @param {string} relPath шлях для повідомлень
+ * @param {string} content вміст YAML
+ * @param {(msg: string) => void} failFn реєструє порушення (exit 1)
+ * @param {(msg: string) => void} passFn реєструє успішну перевірку
+ * @returns {void}
+ */
+function verifyNoRunShellLineContinuationBackslash(relPath, content, failFn, passFn) {
+  const root = parseWorkflowYaml(content)
+  if (!root) {
+    return
+  }
+  const hits = findRunStepsWithShellLineContinuationBackslash(root)
+  if (hits.length === 0) {
+    passFn(String.raw`${relPath}: run без shell-продовження через \ (ga.mdc)`)
+    return
+  }
+  for (const h of hits) {
+    failFn(
+      String.raw`${relPath}: job ${h.jobId}, крок ${h.stepIndex + 1}: у run заборонено продовження рядків через зворотний сліш; довгі команди оформи як folded block (run: >-) без \ на кінцях рядків (ga.mdc)`
+    )
+  }
+}
+
 /**
  * Перевіряє apply-workflow на наявність paths trigger.
  * @param {string} wfDir директорія workflows
@@ -183,6 +212,44 @@ async function checkZizmor(passFn, failFn) {
   }
 }
 
+/**
+ * Перевіряє `.vscode/settings.json`: oxfmt/oxc як default formatter для GitHub Actions workflow (мова
+ * `github-actions-workflow` з розширення github.vscode-github-actions), узгоджено з oxc для yaml/workflow.
+ * @param {(msg: string) => void} passFn callback при успішній перевірці
+ * @param {(msg: string) => void} failFn callback при помилці
+ */
+async function checkVscodeSettingsForGa(passFn, failFn) {
+  const rel = '.vscode/settings.json'
+  if (!existsSync(rel)) {
+    failFn(`${rel} не існує — додай [github-actions-workflow].editor.defaultFormatter = oxc.oxc-vscode (ga.mdc)`)
+    return
+  }
+  let settings
+  try {
+    settings = JSON.parse(await readFile(rel, 'utf8'))
+  } catch {
+    failFn(`${rel}: невалідний JSON (ga.mdc)`)
+    return
+  }
+  if (!settings || typeof settings !== 'object') {
+    failFn(`${rel}: очікується об’єкт налаштувань (ga.mdc)`)
+    return
+  }
+  const block = /** @type {Record<string, unknown>} */ (settings)['[github-actions-workflow]']
+  if (!block || typeof block !== 'object' || block === null || Array.isArray(block)) {
+    failFn(`${rel}: додай "[github-actions-workflow]": { "editor.defaultFormatter": "oxc.oxc-vscode" } (ga.mdc)`)
+    return
+  }
+  const df = String(/** @type {Record<string, unknown>} */ (block)['editor.defaultFormatter'] ?? '')
+  if (df !== 'oxc.oxc-vscode') {
+    failFn(
+      `${rel}: [github-actions-workflow].editor.defaultFormatter має бути "oxc.oxc-vscode" (зараз: ${df || '∅'}) (ga.mdc)`
+    )
+    return
+  }
+  passFn(`${rel}: [github-actions-workflow] → oxc.oxc-vscode`)
+}
+
 /**
  * Перевіряє скрипт lint-ga в package.json.
  * @param {(msg: string) => void} passFn callback при успішній перевірці
@@ -379,6 +446,8 @@ export async function check() {
     fail('.vscode/extensions.json не існує')
   }
 
+  await checkVscodeSettingsForGa(pass, fail)
+
   const ymlWorkflows = files.filter(f => f.endsWith('.yml'))
   await checkMegalinter(wfDir, ymlWorkflows, pass, fail)
 
@@ -386,6 +455,7 @@ export async function check() {
     const content = await readFile(join(wfDir, f), 'utf8')
     verifyCheckoutBeforeLocalSetupBunDeps(`${wfDir}/${f}`, content, fail, pass)
     verifyNoDirectBunOrCache(`${wfDir}/${f}`, content, fail, pass)
+    verifyNoRunShellLineContinuationBackslash(`${wfDir}/${f}`, content, fail, pass)
   }
 
   await checkZizmor(pass, fail)

package/scripts/check-k8s.mjs

@@ -42,7 +42,8 @@
  * в **тому ж каталозі**, що й **`svc.yaml`** (логіка збігається з **`pathsFromKustomizationObject`**).
  *
  * Структура **Kustomize** (див. k8s.mdc): заборона шляхів **`…/k8s/dev/…`**; у **`k8s/base/kustomization.yaml`**
- * завжди має бути непорожнє поле **`namespace:`** (перевірка, якщо файл існує).
+ * завжди має бути непорожнє поле **`namespace:`** (перевірка, якщо файл існує). У **`apiVersion: kustomize.config.k8s.io/…`**, **`kind: Kustomization`**
+ * перелік **`resources:`** (лише непорожні рядки) має бути відсортовано за алфавітом (**en**, `localeCompare`).
  *
  * **Inline JSON6902** у **`patches`** (і зовнішні файли з **`patches[].path`** під **`k8s`**, якщо вміст — масив JSON Patch): не допускається пара **`remove`** і **`add`**
  * на один і той самий **`path`** у межах одного фрагмента — потрібен **`op: replace`** (k8s.mdc). **check-k8s** це перевіряє.
@@ -365,6 +366,77 @@ function pushStringPaths(arr, acc) {
   }
 }
 
+/** Префікс `apiVersion` для маніфесту Kustomize **Kustomization**. */
+const KUSTOMIZE_CONFIG_API_PREFIX = 'kustomize.config.k8s.io/'
+
+/**
+ * Чи послідовність непорожніх рядків зростаюча за `localeCompare` (en).
+ * @param {string[]} paths
+ * @returns {boolean}
+ */
+function stringPathsAreSortedEn(paths) {
+  for (let i = 1; i < paths.length; i++) {
+    if (paths[i - 1].localeCompare(paths[i], 'en', { sensitivity: 'base' }) > 0) {
+      return false
+    }
+  }
+  return true
+}
+
+/**
+ * Порушення сорту **`resources`**: лише для **`kustomize.config.k8s.io/…`**, **`kind: Kustomization`**.
+ * Порожні рядки в списку ігноруються (як у `pushStringPaths`).
+ * @param {unknown} obj корінь першого YAML-документа
+ * @returns {string | null} причина або `null`, якщо обмеження не застосовується
+ */
+export function kustomizationResourcesSortedAlphabeticallyViolation(obj) {
+  if (obj === null || typeof obj !== 'object' || Array.isArray(obj)) return null
+  const rec = /** @type {Record<string, unknown>} */ (obj)
+  if (rec.kind !== 'Kustomization') return null
+  const av = rec.apiVersion
+  if (typeof av !== 'string' || !av.startsWith(KUSTOMIZE_CONFIG_API_PREFIX)) return null
+  const res = rec.resources
+  if (res === undefined) return null
+  if (!Array.isArray(res)) {
+    return 'Kustomization.resources має бути масивом (k8s.mdc)'
+  }
+  /** @type {string[]} */
+  const paths = []
+  for (let i = 0; i < res.length; i++) {
+    const item = res[i]
+    if (typeof item !== 'string') {
+      return `Kustomization.resources[${i}] — очікується рядок-шлях (k8s.mdc)`
+    }
+    const t = item.trim()
+    if (t !== '') paths.push(t)
+  }
+  if (paths.length < 2) return null
+  if (!stringPathsAreSortedEn(paths)) {
+    const want = [...paths].sort((a, b) => a.localeCompare(b, 'en', { sensitivity: 'base' }))
+    return `Kustomization.resources має бути за алфавітом (en). Зараз: ${paths.join(', ')}; очікувано: ${want.join(', ')} (k8s.mdc)`
+  }
+  return null
+}
+
+/**
+ * Усі **`kustomization.yaml`**: **`resources`**, відсортовані за en.
+ * @param {string} root корінь репо
+ * @param {string[]} yamlFilesAbs yaml під k8s
+ * @param {(msg: string) => void} fail
+ * @returns {Promise<void>}
+ */
+async function validateKustomizationResourcesSortedAlphabetically(root, yamlFilesAbs, fail) {
+  for (const kustAbs of yamlFilesAbs.filter(p => basename(p).toLowerCase() === 'kustomization.yaml')) {
+    const rel = (relative(root, kustAbs) || kustAbs).replaceAll('\\', '/')
+    const kust = await readFirstYamlObject(kustAbs)
+    if (kust === null) continue
+    const v = kustomizationResourcesSortedAlphabeticallyViolation(kust)
+    if (v !== null) {
+      fail(`${rel}: ${v}`)
+    }
+  }
+}
+
 /**
  * Шляхи з полів Kustomization для resolve відносно каталогу **`kustomization.yaml`**.
  * @param {unknown} obj корінь першого документа Kustomization
@@ -397,12 +469,41 @@ function pathsFromKustomizationObject(obj) {
   return out
 }
 
+/**
+ * @param {unknown} arr масив (може бути не масивом)
+ * @param {string[]} out вихідний масив
+ */
+function collectObjectPathFields(arr, out) {
+  if (!Array.isArray(arr)) return
+  for (const item of arr) {
+    if (item !== null && typeof item === 'object' && !Array.isArray(item)) {
+      const pth = /** @type {Record<string, unknown>} */ (item).path
+      if (typeof pth === 'string' && pth.trim() !== '') {
+        out.push(pth.trim())
+      }
+    }
+  }
+}
+
+/**
+ * @param {unknown} arr масив (може бути не масивом)
+ * @param {string[]} out вихідний масив
+ */
+function collectStringPaths(arr, out) {
+  if (!Array.isArray(arr)) return
+  for (const c of arr) {
+    if (typeof c === 'string' && c.trim() !== '') {
+      out.push(c.trim())
+    }
+  }
+}
+
 /**
  * Унікальні локальні шляхи з `kustomization.yaml` для перевірки існування на диску:
  * як у `pathsFromKustomizationObject`, плюс **`patchesJson6902[].path`**, плюс **`configurations[]`**
  * (рядки-шляхи) і **`replacements[].path`**, якщо задано.
  * @param {unknown} obj корінь першого документа
- * @returns {string[]}
+ * @returns {string[]} масив локальних шляхів для перевірки існування на диску
  */
 export function kustomizePathRefsForExistenceCheck(obj) {
   if (obj === null || typeof obj !== 'object' || Array.isArray(obj)) {
@@ -410,37 +511,48 @@ export function kustomizePathRefsForExistenceCheck(obj) {
   }
   const fromPaths = pathsFromKustomizationObject(obj)
   const rec = /** @type {Record<string, unknown>} */ (obj)
-  const pj = rec.patchesJson6902
-  if (Array.isArray(pj)) {
-    for (const item of pj) {
-      if (item !== null && typeof item === 'object' && !Array.isArray(item)) {
-        const pth = /** @type {Record<string, unknown>} */ (item).path
-        if (typeof pth === 'string' && pth.trim() !== '') {
-          fromPaths.push(pth.trim())
-        }
-      }
-    }
+  collectObjectPathFields(rec.patchesJson6902, fromPaths)
+  collectStringPaths(rec.configurations, fromPaths)
+  collectObjectPathFields(rec.replacements, fromPaths)
+  return [...new Set(fromPaths)]
+}
+
+/**
+ * @param {string} rel відносний шлях файлу
+ * @param {string} r посилання з kustomization
+ * @param {string} kustDir каталог kustomization.yaml
+ * @param {string} rootNorm нормалізований корінь
+ * @param {(msg: string) => void} fail callback
+ * @returns {Promise<void>}
+ */
+async function validateKustomizationRef(rel, r, kustDir, rootNorm, fail) {
+  const target = resolve(kustDir, r.trim())
+  if (!resolvedFilePathIsUnderRoot(rootNorm, target)) {
+    fail(
+      `${rel}: посилання «${r}» виходить за межі репозиторію (resolve: ${(
+        relative(rootNorm, target) || target
+      ).replaceAll('\\', '/')}) (k8s.mdc)`
+    )
+    return
   }
-  const configurations = rec.configurations
-  if (Array.isArray(configurations)) {
-    for (const c of configurations) {
-      if (typeof c === 'string' && c.trim() !== '') {
-        fromPaths.push(c.trim())
-      }
-    }
+  /** @type {import('node:fs').Stats | undefined} */
+  let st
+  try {
+    st = await stat(target)
+  } catch {
+    st = undefined
   }
-  const replacements = rec.replacements
-  if (Array.isArray(replacements)) {
-    for (const r of replacements) {
-      if (r !== null && typeof r === 'object' && !Array.isArray(r)) {
-        const pth = /** @type {Record<string, unknown>} */ (r).path
-        if (typeof pth === 'string' && pth.trim() !== '') {
-          fromPaths.push(pth.trim())
-        }
-      }
+  if (st === undefined) {
+    fail(`${rel}: посилання «${r}» вказує на неіснуючий ресурс (очікувано файл або каталог; k8s.mdc)`)
+  } else if (st.isFile()) {
+    if (!YAML_EXTENSION_RE.test(target)) {
+      fail(
+        `${rel}: «${r}» — за правилами k8s у kustomization для файлів дозволені лише розширення .yaml / .yml (k8s.mdc)`
+      )
     }
+  } else if (!st.isDirectory()) {
+    fail(`${rel}: «${r}» — ні файл, ні каталог (k8s.mdc)`)
   }
-  return [...new Set(fromPaths)]
 }
 
 /**
@@ -454,56 +566,23 @@ export function kustomizePathRefsForExistenceCheck(obj) {
 async function validateOneKustomizationPathRefsExist(root, kustAbs, rootNorm, fail) {
   const rel = (relative(root, kustAbs) || kustAbs).replaceAll('\\', '/')
   const kust = await readFirstYamlObject(kustAbs)
-  if (kust === null) {
-    return
-  }
-  if (kust.kind !== 'Kustomization') {
+  if (kust === null || kust.kind !== 'Kustomization') {
     return
   }
   const refs = kustomizePathRefsForExistenceCheck(kust)
   const kustDir = dirname(resolve(kustAbs))
   for (const r of refs) {
-    if (typeof r !== 'string' || r.includes('://') || r.trim() === '') {
-      continue
-    }
-    const target = resolve(kustDir, r.trim())
-    if (!resolvedFilePathIsUnderRoot(rootNorm, target)) {
-      fail(
-        `${rel}: посилання «${r}» виходить за межі репозиторію (resolve: ${(relative(rootNorm, target) || target).replaceAll('\\', '/')
-        }) (k8s.mdc)`
-      )
-      continue
-    }
-    /** @type {import('node:fs').Stats | undefined} */
-    let st
-    try {
-      st = await stat(target)
-    } catch {
-      st = undefined
-    }
-    if (st === undefined) {
-      fail(
-        `${rel}: посилання «${r}» вказує на неіснуючий ресурс (очікувано файл або каталог; k8s.mdc)`
-      )
-      continue
-    }
-    if (st.isFile()) {
-      if (!YAML_EXTENSION_RE.test(target)) {
-        fail(
-          `${rel}: «${r}» — за правилами k8s у kustomization для файлів дозволені лише розширення .yaml / .yml (k8s.mdc)`
-        )
-      }
-    } else if (!st.isDirectory()) {
-      fail(`${rel}: «${r}» — ні файл, ні каталог (k8s.mdc)`)
+    if (typeof r === 'string' && !r.includes('://') && r.trim() !== '') {
+      await validateKustomizationRef(rel, r, kustDir, rootNorm, fail)
     }
   }
 }
 
 /**
  * Усі `kustomization.yaml` під `k8s`: локальні `path` / ресурси мають існувати.
- * @param {string} root
- * @param {string[]} yamlFilesAbs
- * @param {(msg: string) => void} fail
+ * @param {string} root корінь репозиторію
+ * @param {string[]} yamlFilesAbs абсолютні шляхи YAML-файлів у k8s
+ * @param {(msg: string) => void} fail callback для повідомлень про помилки
  * @returns {Promise<void>}
  */
 async function validateKustomizationPathRefsExistOnDisk(root, yamlFilesAbs, fail) {
@@ -4282,6 +4361,24 @@ function isResolvedFileUnderDirectory(dirAbs, fileAbs) {
   return !r.startsWith('../') && r !== '..'
 }
 
+/**
+ * @param {string} resolved абсолютний шлях
+ * @param {string} rootNorm нормалізований корінь
+ * @returns {Promise<boolean>} true, якщо resolved є k8s base-каталогом з kustomization.yaml
+ */
+async function isK8sBaseDir(resolved, rootNorm) {
+  if (basename(resolved) !== 'base') return false
+  if (!existsSync(join(resolved, 'kustomization.yaml'))) return false
+  if (!isUnderK8sPathRelToRoot(rootNorm, resolved)) return false
+  let st
+  try {
+    st = await stat(resolved)
+  } catch {
+    return false
+  }
+  return st.isDirectory()
+}
+
 /**
  * За списку посилань kustomize повертає каталоги `.../base` з `kustomization.yaml` (наслідування base).
  * @param {string} kustDir каталог kustomization.yaml
@@ -4293,26 +4390,12 @@ async function k8sBaseDirsFromKustomizeResourcePathRefs(kustDir, pathRefs, rootN
   /** @type {string[]} */
   const out = []
   for (const ref of pathRefs) {
-    if (typeof ref !== 'string' || ref.includes('://') || ref.trim() === '') {
-      continue
-    }
-    const resolved = resolve(kustDir, ref.trim())
-    if (!resolvedFilePathIsUnderRoot(rootNorm, resolved)) {
-      continue
-    }
-    let st
-    try {
-      st = await stat(resolved)
-    } catch {
-      st = undefined
-    }
-    if (st === undefined || !st.isDirectory() || basename(resolved) !== 'base') {
-      continue
-    }
-    if (!existsSync(join(resolved, 'kustomization.yaml')) || !isUnderK8sPathRelToRoot(rootNorm, resolved)) {
-      continue
+    if (typeof ref === 'string' && !ref.includes('://') && ref.trim() !== '') {
+      const resolved = resolve(kustDir, ref.trim())
+      if (resolvedFilePathIsUnderRoot(rootNorm, resolved) && (await isK8sBaseDir(resolved, rootNorm))) {
+        out.push(resolved)
+      }
     }
-    out.push(resolved)
   }
   return out
 }
@@ -4349,20 +4432,13 @@ async function yamlFileContainsHpaOrPdbDocument(fileAbs) {
   if (docs === undefined) {
     return false
   }
-  for (const doc of docs) {
-    if (doc.errors.length > 0) {
-      continue
-    }
+  return docs.some(doc => {
+    if (doc.errors.length > 0) return false
     const o = doc.toJSON()
-    if (o === null || typeof o !== 'object' || Array.isArray(o)) {
-      continue
-    }
+    if (o === null || typeof o !== 'object' || Array.isArray(o)) return false
     const k = /** @type {Record<string, unknown>} */ (o).kind
-    if (k === 'HorizontalPodAutoscaler' || k === 'PodDisruptionBudget') {
-      return true
-    }
-  }
-  return false
+    return k === 'HorizontalPodAutoscaler' || k === 'PodDisruptionBudget'
+  })
 }
 
 /**
@@ -4378,9 +4454,7 @@ async function verifyK8sBaseKustomizeHpaPdbNeedDeployment(kustAbs, rel, fail, pa
   const { hasDeployment, hasHpa, hasPdb } = await getTreeFlags(kustAbs)
   if (hasHpa || hasPdb) {
     if (hasDeployment) {
-      passFn(
-        `${rel}: у дереві kustomize base є HPA/PDB і Deployment (k8s.mdc)`
-      )
+      passFn(`${rel}: у дереві kustomize base є HPA/PDB і Deployment (k8s.mdc)`)
     } else {
       fail(
         `${rel}: у base є HorizontalPodAutoscaler і/або PodDisruptionBudget у resources/bases/…, але дерева kustomize не містить Deployment — HPA і PDB дозволені тільки разом із Deployment (k8s.mdc)`
@@ -4398,7 +4472,7 @@ async function verifyK8sBaseKustomizeHpaPdbNeedDeployment(kustAbs, rel, fail, pa
  * @param {Record<string, unknown>} kustObj перший документ
  * @param {(msg: string) => void} fail callback
  * @param {(msg: string) => void} passFn success
- * @param {(kust: string) => Promise<{ hasDeployment: boolean, hasHpa: boolean, hasPdb: boolean }>} getTreeFlags
+ * @param {(kust: string) => Promise<{ hasDeployment: boolean, hasHpa: boolean, hasPdb: boolean }>} getTreeFlags функція отримання прапорців дерева kustomize
  * @returns {Promise<void>}
  */
 async function verifyOverlayHpaPdbFileRefsRespectBaseDeployment(
@@ -4417,55 +4491,52 @@ async function verifyOverlayHpaPdbFileRefsRespectBaseDeployment(
     return
   }
 
-  const anyBaseHasDep = await (async () => {
-    for (const baseDir of baseDirs) {
-      const { hasDeployment: h } = await getTreeFlags(join(baseDir, 'kustomization.yaml'))
-      if (h) {
-        return true
-      }
-    }
-    return false
-  })()
+  const treeFlags = await Promise.all(baseDirs.map(bd => getTreeFlags(join(bd, 'kustomization.yaml'))))
+  const anyBaseHasDep = treeFlags.some(f => f.hasDeployment)
+
   for (const ref of pathRefs) {
-    if (typeof ref !== 'string' || ref.includes('://') || ref.trim() === '') {
-      continue
-    }
-    const fAbs = resolve(kustDir, ref.trim())
-    if (!resolvedFilePathIsUnderRoot(root, fAbs) || !existsSync(fAbs)) {
-      continue
-    }
-    let st
-    try {
-      st = await stat(fAbs)
-    } catch {
-      st = undefined
-    }
-    if (st === undefined) {
-      continue
-    }
-    if (!st.isFile() || !YAML_EXTENSION_RE.test(fAbs)) {
-      continue
-    }
-    const fUnderSomeBase = baseDirs.some(bd => isResolvedFileUnderDirectory(bd, fAbs))
-    if (fUnderSomeBase) {
-      continue
-    }
-    const hpaPdb = await yamlFileContainsHpaOrPdbDocument(fAbs)
-    if (!hpaPdb) {
-      continue
-    }
-    if (!anyBaseHasDep) {
-      fail(
-        `${rel}: посилання «${ref}» містить HorizontalPodAutoscaler і/або PodDisruptionBudget, а наслідуваний k8s/base не дає у дереві Deployment — прибери HPA/PDB або додай Deployment у base (k8s.mdc)`
-      )
-    } else {
-      passFn(
-        `${rel}: overlay-файл «${(relative(root, fAbs) || ref).replaceAll('\\', '/')}» з HPA/PDB, base містить Deployment (k8s.mdc)`
-      )
+    if (typeof ref === 'string' && !ref.includes('://') && ref.trim() !== '') {
+      await checkOverlayRefHpaPdb(root, kustDir, rel, ref, baseDirs, anyBaseHasDep, fail, passFn)
     }
   }
 }
 
+/**
+ * @param {string} root нормалізований корінь
+ * @param {string} kustDir каталог kustomization.yaml
+ * @param {string} rel відносний шлях для повідомлень
+ * @param {string} ref посилання з pathRefs
+ * @param {string[]} baseDirs масив base-каталогів
+ * @param {boolean} anyBaseHasDep чи є Deployment у base
+ * @param {(msg: string) => void} fail callback
+ * @param {(msg: string) => void} passFn callback
+ * @returns {Promise<void>}
+ */
+async function checkOverlayRefHpaPdb(root, kustDir, rel, ref, baseDirs, anyBaseHasDep, fail, passFn) {
+  const fAbs = resolve(kustDir, ref.trim())
+  if (!resolvedFilePathIsUnderRoot(root, fAbs) || !existsSync(fAbs)) return
+  let st
+  try {
+    st = await stat(fAbs)
+  } catch {
+    return
+  }
+  if (!st.isFile() || !YAML_EXTENSION_RE.test(fAbs)) return
+  const fUnderSomeBase = baseDirs.some(bd => isResolvedFileUnderDirectory(bd, fAbs))
+  if (fUnderSomeBase) return
+  const hpaPdb = await yamlFileContainsHpaOrPdbDocument(fAbs)
+  if (!hpaPdb) return
+  if (anyBaseHasDep) {
+    passFn(
+      `${rel}: overlay-файл «${(relative(root, fAbs) || ref).replaceAll('\\', '/')}» з HPA/PDB, base містить Deployment (k8s.mdc)`
+    )
+  } else {
+    fail(
+      `${rel}: посилання «${ref}» містить HorizontalPodAutoscaler і/або PodDisruptionBudget, а наслідуваний k8s/base не дає у дереві Deployment — прибери HPA/PDB або додай Deployment у base (k8s.mdc)`
+    )
+  }
+}
+
 /**
  * Перевіряє всі кастомізації: (1) у k8s/base дереві HPA/PDB тільки з Deployment; (2) overlay, що
  * посилається на base, не додає HPA/PDB без Deployment у base.
@@ -4480,8 +4551,8 @@ async function validateKustomizeHpaPdbOnlyWithBaseDeployment(root, yamlFilesAbs,
   /** @type {Map<string, Promise<{ hasDeployment: boolean, hasHpa: boolean, hasPdb: boolean }>>} */
   const treeFlagsMemo = new Map()
   /**
-   * @param {string} kustPath
-   * @returns {Promise<{ hasDeployment: boolean, hasHpa: boolean, hasPdb: boolean }>}
+   * @param {string} kustPath абсолютний шлях до kustomization.yaml
+   * @returns {Promise<{ hasDeployment: boolean, hasHpa: boolean, hasPdb: boolean }>} прапорці наявності ресурсів у дереві
    */
   const getTreeFlags = kustPath => {
     const k = resolve(kustPath)
@@ -4496,21 +4567,12 @@ async function validateKustomizeHpaPdbOnlyWithBaseDeployment(root, yamlFilesAbs,
   for (const kustAbs of kustFiles) {
     const rel = (relative(rootNorm, kustAbs) || kustAbs).replaceAll('\\', '/')
     const kust = await readFirstYamlObject(kustAbs)
-    if (kust === null) {
-      continue
-    }
-    if (isK8sBaseKustomizationRelPath(rel)) {
-      await verifyK8sBaseKustomizeHpaPdbNeedDeployment(kustAbs, rel, fail, passFn, getTreeFlags)
-    } else {
-      await verifyOverlayHpaPdbFileRefsRespectBaseDeployment(
-        rootNorm,
-        kustAbs,
-        rel,
-        kust,
-        fail,
-        passFn,
-        getTreeFlags
-      )
+    if (kust !== null) {
+      if (isK8sBaseKustomizationRelPath(rel)) {
+        await verifyK8sBaseKustomizeHpaPdbNeedDeployment(kustAbs, rel, fail, passFn, getTreeFlags)
+      } else {
+        await verifyOverlayHpaPdbFileRefsRespectBaseDeployment(rootNorm, kustAbs, rel, kust, fail, passFn, getTreeFlags)
+      }
     }
   }
 }
@@ -4786,6 +4848,8 @@ export async function check() {
 
   await validateKustomizationPathRefsExistOnDisk(root, yamlFiles, fail)
 
+  await validateKustomizationResourcesSortedAlphabetically(root, yamlFiles, fail)
+
   await validateKustomizationPatchTargetsResolved(root, yamlFiles, fail)
 
   await validateKustomizeHpaPdbOnlyWithBaseDeployment(root, yamlFiles, fail, pass)

package/scripts/utils/docker-mirror.mjs

@@ -0,0 +1,154 @@
+/**
+ * Визначає, чи рядок `FROM` у Dockerfile використовує образи
+ * `oven/bun`, `alpine`, `nginx`, `node` з Docker Hub без дзеркала
+ * `mirror.gcr.io` (GCR mirror).
+ *
+ * Правило застосовується лише до тих самих звернень, що виглядають як
+ * pull з Docker Hub (короткі імена, `docker.io/…`); приватні реєстри
+ * (hostname у першому сегменті) не оцінюються.
+ *
+ * Канонічні заміни: `mirror.gcr.io/oven/bun` та
+ * `mirror.gcr.io/library/{alpine,nginx,node}`.
+ */
+
+const FROM_LINE_RE = /^\s*FROM\s+([^\n]+)/i
+const TOKEN_RE = /(?:[^\s"]+|"[^"]*")+/g
+const MIRROR_GCR_RE = /^mirror\.gcr\.io\//i
+const IP_LIKE_RE = /^\d+\.\d+/
+const HOST_PORT_RE = /^\S+:\d+$/
+const DOCKER_IO_PREFIX_RE = /^(docker\.io|index\.docker\.io)\//
+const NEWLINE_SPLIT_RE = /\r?\n/
+
+/**
+ * @param {string} t — токен образу в лапках або без
+ * @returns {string} токен без зовнішніх лапок
+ */
+function stripFromImageQuotes(t) {
+  if (t.length >= 2 && (t[0] === '"' || t[0] === "'")) {
+    return t.slice(1, -1)
+  }
+  return t
+}
+
+/**
+ * Виділяє токен образу з рядка `FROM` (після зняття inline-коментаря, без AS).
+ * Підтримує прапорець `--platform=…` і форму `--platform` + значення.
+ * @param {string} line — рядок Dockerfile
+ * @returns {string | null} токен образу або null, якщо рядок не `FROM`
+ */
+export function getFromImageToken(line) {
+  const withoutComment = line.split('#')[0].trim()
+  if (!withoutComment) return null
+  const m = withoutComment.match(FROM_LINE_RE)
+  if (!m) return null
+  const raw = m[1].trim()
+  const tokens = raw.match(TOKEN_RE) || []
+  let i = 0
+  while (i < tokens.length) {
+    const t = tokens[i]
+    if (t === '--platform' || t.startsWith('--platform=')) {
+      if (t.startsWith('--platform=')) {
+        i += 1
+      } else if (tokens[i + 1] === undefined) {
+        i += 1
+      } else {
+        i += 2
+      }
+    } else if (t === '--' || t.toUpperCase() === 'AS') {
+      break
+    } else if (t.startsWith('--') && t.includes('=')) {
+      i += 1
+    } else if (t.startsWith('--')) {
+      i += 1
+    } else {
+      return stripFromImageQuotes(t)
+    }
+  }
+  return null
+}
+
+/**
+ * Схоже на звернення до Docker Hub (коротке ім’я, `docker.io/…`, не mirror.gcr.io).
+ * Не вважати Hub: явний чужий реєстр (`gcr.io/…`, `reg.example.com:5000/…`).
+ * @param {string} imageToken — ref образу (FROM)
+ * @returns {boolean} true, якщо схоже на pull з Docker Hub
+ */
+export function isDockerHubStyleImageRef(imageToken) {
+  if (!imageToken) return false
+  if (MIRROR_GCR_RE.test(imageToken)) return false
+  const noDigest = imageToken.split('@')[0] || ''
+  if (!noDigest.includes('/')) {
+    return true
+  }
+  const first = noDigest.split('/')[0] || ''
+  if (first === 'docker.io' || first === 'index.docker.io') return true
+  if (first.includes('.')) return false
+  if (first === 'localhost' || IP_LIKE_RE.test(first)) return false
+  if (first.includes(':') && HOST_PORT_RE.test(first)) {
+    return false
+  }
+  return true
+}
+
+/**
+ * Нормалізує шлях репозиторію (без тега/digest) для порівняння: `library/node`, `oven/bun`, …
+ * @param {string} imageToken — ref образу
+ * @returns {string} нормалізований шлях репозиторію без тега
+ */
+export function normalizeHubRepoPath(imageToken) {
+  let s = (imageToken.split('@')[0] || '').toLowerCase()
+  s = s.replace(DOCKER_IO_PREFIX_RE, '')
+  if (!s.includes('/')) {
+    return `library/${s.split(':')[0]}`
+  }
+  const lastSl = s.lastIndexOf('/')
+  const lastCol = s.lastIndexOf(':')
+  if (lastCol > lastSl) {
+    s = s.slice(0, lastCol)
+  }
+  return s
+}
+
+const HUB_REPOS_REQUIRING_MIRROR = /** @type {const} */ (
+  new Set(['oven/bun', 'library/alpine', 'library/nginx', 'library/node'])
+)
+
+const EXPECTED_MIRROR = /** @type {const} */ ({
+  'oven/bun': 'mirror.gcr.io/oven/bun',
+  'library/alpine': 'mirror.gcr.io/library/alpine',
+  'library/nginx': 'mirror.gcr.io/library/nginx',
+  'library/node': 'mirror.gcr.io/library/node'
+})
+
+/**
+ * Якщо образ тягнеться з Hub і підлягає дзеркалу — повертає рекомендовану заміну, інакше `null`.
+ * @param {string} imageToken — ref після `FROM`
+ * @returns {string | null} рекомендований `mirror.gcr.io/...` (без тега) або null
+ */
+export function getRequiredMirrorGcrImage(imageToken) {
+  if (!imageToken) return null
+  if (MIRROR_GCR_RE.test(imageToken)) return null
+  if (!isDockerHubStyleImageRef(imageToken)) return null
+  const norm = normalizeHubRepoPath(imageToken)
+  if (!HUB_REPOS_REQUIRING_MIRROR.has(/** @type {keyof typeof EXPECTED_MIRROR} */ (norm))) {
+    return null
+  }
+  return EXPECTED_MIRROR[/** @type {keyof typeof EXPECTED_MIRROR} */ (norm)]
+}
+
+/**
+ * Сканує вміст Dockerfile / Containerfile — повертає рядок помилки або `null`.
+ * @param {string} fileContent — повний вміст Dockerfile
+ * @returns {string | null} повідомлення з номером рядка або null
+ */
+export function getMirrorGcrHint(fileContent) {
+  const lines = fileContent.split(NEWLINE_SPLIT_RE)
+  for (const [n, line] of lines.entries()) {
+    const image = getFromImageToken(line)
+    const expected = getRequiredMirrorGcrImage(image)
+    if (expected) {
+      return `рядок ${n + 1}: FROM має тягнути ${expected} (замість ${image})`
+    }
+  }
+  return null
+}

package/scripts/utils/gha-workflow.mjs

@@ -3,6 +3,8 @@
  *
  * Використовується в check-ga, check-js-lint, check-text, check-style-lint, check-npm-module замість
  * пошуку підрядків у сирому тексті там, де важливі лише значення `uses:` та `run:` кроків.
+ *
+ * Для `run:` також виявляється shell-продовження рядка через `\\` перед переносом (антипатерн у ga.mdc).
  */
 import { parse } from 'yaml'
 
@@ -67,6 +69,36 @@ export function getStepRun(step) {
   return ''
 }
 
+/** У тексті `run:` зіставляє `\\` одразу перед переносом рядка (типове shell-продовження в bash). */
+const RUN_SHELL_LINE_CONTINUATION_BACKSLASH_RE = /\\\r?\n/
+
+/**
+ * Чи містить значення `run:` shell-продовження рядка через зворотний сліш перед переносом (`… \\` + NL).
+ * У workflow такі конструкції замінюють на folded block `>-` без зворотних слішів (ga.mdc).
+ * @param {string} runText текст з `getStepRun`
+ * @returns {boolean} `true`, якщо знайдено `\\` перед новим рядком
+ */
+export function runTextHasShellLineContinuationBackslash(runText) {
+  return typeof runText === 'string' && runText.length > 0 && RUN_SHELL_LINE_CONTINUATION_BACKSLASH_RE.test(runText)
+}
+
+/**
+ * Повертає кроки, у яких `run:` містить заборонене shell-продовження через `\\`.
+ * @param {Record<string, unknown>} root корінь workflow
+ * @returns {{ jobId: string, stepIndex: number }[]} список кроків із порушенням
+ */
+export function findRunStepsWithShellLineContinuationBackslash(root) {
+  /** @type {{ jobId: string, stepIndex: number }[]} */
+  const out = []
+  for (const { jobId, stepIndex, step } of flattenWorkflowSteps(root)) {
+    const run = getStepRun(step)
+    if (runTextHasShellLineContinuationBackslash(run)) {
+      out.push({ jobId, stepIndex })
+    }
+  }
+  return out
+}
+
 /**
  * Чи є крок, у якого `uses` містить будь-який з підрядків.
  * @param {Record<string, unknown>} root корінь workflow