@nitra/cursor 1.8.177 → 1.8.179

package/CHANGELOG.md

@@ -4,6 +4,20 @@
 
 Формат — [Keep a Changelog](https://keepachangelog.com/uk/1.1.0/), нумерація — [SemVer](https://semver.org/lang/uk/).
 
+## [1.8.179] - 2026-05-05
+
+### Changed
+
+- `abie` (`check-abie.mjs` / `mdc/abie.mdc`): `httpHealthCheck.requestPath` у `HealthCheckPolicy` (`hc.yaml`) тепер допускає будь-який непорожній шлях від кореня — рядок, що починається з `/` (`/healthz`, `/IsAlive`, `/api/live` тощо), замість жорсткої вимоги `/healthz`. Решта вимог незмінна: `type: HTTP`, `port: 8080`, `targetRef` на headless Service з суфіксом `-hl`. Канонічно рекомендується `/healthz`, але правило не блокує сервіси з власним liveness endpoint. JSDoc у `check-abie.mjs` і опис у `mdc/abie.mdc` приведено у відповідність до коду. Тести: 3 нові кейси у `check-abie.test.mjs` (нестандартний `/IsAlive`, відсутній лідируючий `/`, порожній рядок).
+
+## [1.8.178] - 2026-05-05
+
+### Added
+
+- `vue` (mdc v1.4 → v1.5): у `.vue` SFC заборонено імпортувати Node-нативні модулі — як з префіксом `node:` (`node:timers/promises`, `node:fs` тощо), так і bare-ім’я вбудованого модуля Node (`fs`, `path`, `crypto`, `fs/promises` …). Vue SFC виконується у браузері, де Node API недоступне; такі імпорти ламають білд / рантайм. Логіку з Node API треба виносити у server-side утіліту (backend-пакет монорепо), а у компонентах використовувати браузерні замінники (`window.crypto`, `URL`, глобальний `setTimeout`, `AbortController` тощо). Правило торкається лише `.vue` файлів — `.ts`/`.js`-утіліти, що споживаються server-side, можуть імпортувати Node-built-ins без обмежень.
+- `check-vue.mjs`: нова гілка `checkVueNodeImportViolations` обходить `.vue` файли пакета (виключаючи `node_modules`/`dist`/…) і парсить `<script>` блоки тим самим **oxc-parser**’ом — для кожного `staticImport` перевіряє специфікатор через `isNodeBuiltinSpecifier(spec)` (префікс `node:` або bare-ім’я з `module.builtinModules`, з підтримкою підшляхів типу `fs/promises`). У повідомленні про fail виводиться `rel:line` і фрагмент import.
+- `vue-forbidden-imports.mjs`: експортовано `isNodeBuiltinSpecifier`, `findForbiddenNodeImportsInText`, `findForbiddenNodeImportsInVueFile` (для не-`.vue` повертає `[]`). Тести: 5 нових кейсів у `vue-forbidden-imports.test.mjs` (built-in detection / `node:` префікс / bare-built-in / лише script-блоки SFC / non-`.vue` skip) та 2 нові integration-кейси у `check-rule-fixtures.test.mjs` (fail при `node:timers/promises` і при bare `fs` у SFC).
+
 ## [1.8.177] - 2026-05-05
 
 ### Changed

package/mdc/abie.mdc

@@ -12,7 +12,7 @@ version: '1.17'
 
 ## k8s: `hc.yaml` поруч із Deployment
 
-Якщо під **`k8s`** є **Deployment**, у **тій самій директорії** має бути **`hc.yaml`** з **HealthCheckPolicy** (**`networking.gke.io/v1`**): коректний modeline **`$schema`**, **`/healthz`**, порт **8080**, **`targetRef.name`** — **headless** **Service** з суфіксом **`-hl`** (узгоджено з парою **`svc.yaml`** / **`svc-hl.yaml`** у **k8s.mdc**): або **`${metadata.name}-hl`**, або те саме ім’я, якщо **`metadata.name`** уже з **`-hl`**.
+Якщо під **`k8s`** є **Deployment**, у **тій самій директорії** має бути **`hc.yaml`** з **HealthCheckPolicy** (**`networking.gke.io/v1`**): коректний modeline **`$schema`**, **`httpHealthCheck.requestPath`** — непорожній шлях від кореня (рядок, що починається з **`/`**: канонічно **`/healthz`**, але також допустимі **`/IsAlive`**, **`/api/live`** тощо — узгоджується з реальним endpoint сервісу), порт **8080**, **`targetRef.name`** — **headless** **Service** з суфіксом **`-hl`** (узгоджено з парою **`svc.yaml`** / **`svc-hl.yaml`** у **k8s.mdc**): або **`${metadata.name}-hl`**, або те саме ім’я, якщо **`metadata.name`** уже з **`-hl`**.
 
 ```yaml title="hc.yaml"
 # yaml-language-server: $schema=https://datreeio.github.io/CRDs-catalog/networking.gke.io/healthcheckpolicy_v1.json

package/mdc/vue.mdc

@@ -1,7 +1,7 @@
 ---
 description: Vue
 alwaysApply: true
-version: '1.4'
+version: '1.5'
 ---
 
 # Vue 3 Composition API — правила для .cursorrules
@@ -263,6 +263,28 @@ export default defineConfig(({ mode, command }) => {
     }
 ```
 
+## Заборонено імпортувати Node-нативні модулі у `.vue` SFC
+
+Vue SFC виконується у браузері, тож API Node.js там недоступне. У `<script>` (включно з `<script setup>`)
+заборонено будь-які імпорти вбудованих модулів Node — як з префіксом `node:`, так і bare-ім’ям модуля
+(включно з підшляхами):
+
+```vue title="погано — ламає білд"
+<script setup lang="ts">
+import { setTimeout as sleep } from 'node:timers/promises'
+import fs from 'fs'
+import { readFile } from 'fs/promises'
+import path from 'node:path'
+</script>
+```
+
+Якщо потрібна логіка з Node API — винеси її у server-side утіліту (наприклад, у backend-пакет монорепо)
+та звертайся до неї через HTTP/GraphQL. Браузерні замінники (`window.crypto`, `URL`, `setTimeout` глобальний,
+`AbortController` тощо) використовуй напряму, без import.
+
+Правило стосується саме `.vue` файлів. Допоміжні `.ts`/`.js` модулі, які споживаються лише server-side
+(наприклад, окремий пакет утіліт), можуть імпортувати Node-built-ins без обмежень.
+
 ## Перевірка
 
-`npx @nitra/cursor check vue` — перевіряє залежності, `vite.config`, а також обходить джерела Vue-пакета (`.vue`, `.ts`, `.js` тощо) на заборонені value-імпорти з модуля `vue`; дозволені лише type-only та side-effect `import 'vue'`. Імпорти аналізуються через **oxc-parser** (`module.staticImports`); для `.vue` вміст `<script>` витягується з SFC, далі той самий парсер (логіка в `npm/scripts/utils/vue-forbidden-imports.mjs`).
+`npx @nitra/cursor check vue` — перевіряє залежності, `vite.config`, а також обходить джерела Vue-пакета (`.vue`, `.ts`, `.js` тощо) на заборонені value-імпорти з модуля `vue` (дозволені лише type-only та side-effect `import 'vue'`) і додатково сканує `.vue` SFC на імпорти Node-нативних модулів (`node:*` префікс або bare-ім’я вбудованого модуля Node — `fs`, `path`, `timers/promises` тощо). Імпорти аналізуються через **oxc-parser** (`module.staticImports`); для `.vue` вміст `<script>` витягується з SFC, далі той самий парсер (логіка в `npm/scripts/utils/vue-forbidden-imports.mjs`).

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nitra/cursor",
-  "version": "1.8.177",
+  "version": "1.8.179",
   "description": "CLI для завантаження cursor-правил (префікс n-) у локальний репозиторій",
   "keywords": [
     "cli",

package/scripts/check-abie.mjs

@@ -13,7 +13,7 @@
  *
  * **k8s:** якщо під деревом із сегментом **`k8s`** є YAML з **`kind: Deployment`**, у тій самій директорії
  * має існувати **`hc.yaml`** із **`HealthCheckPolicy`** (**`networking.gke.io/v1`**), modeline **`$schema`**
- * як у abie.mdc, **`/healthz`**, порт **8080**, **`targetRef`** на **headless Service** (ім'я з суфіксом **`-hl`**):
+ * як у abie.mdc, **`requestPath`** — непорожній шлях від кореня (рядок, що починається з **`/`**: **`/healthz`**, **`/IsAlive`**, **`/api/live`** тощо), порт **8080**, **`targetRef`** на **headless Service** (ім'я з суфіксом **`-hl`**):
  * якщо **`metadata.name`** уже закінчується на **`-hl`**, **`targetRef.name`** має збігатися з ним; інакше **`targetRef.name`** = **`${metadata.name}-hl`**.
  * Загальні вимоги до **`# yaml-language-server: $schema`** для інших YAML під **`k8s`** — у **check-k8s.mjs** / **k8s.mdc** (наприклад **HttpBackendGroup** `alb.yc.io/v1alpha1` — **без** modeline).
  * Якщо в дереві **k8s** є **HealthCheckPolicy**, перевіряється **`ru/kustomization.yaml`** з patch **`$patch: delete`**
@@ -1324,7 +1324,10 @@ function validateAbieHcPolicy(policy, relPath) {
   if (httpHc === null || typeof httpHc !== 'object' || Array.isArray(httpHc)) {
     return `${relPath}: відсутній httpHealthCheck (abie.mdc)`
   }
-  if (httpHc.requestPath !== '/healthz') return `${relPath}: httpHealthCheck.requestPath має бути /healthz (abie.mdc)`
+  const requestPath = typeof httpHc.requestPath === 'string' ? httpHc.requestPath.trim() : ''
+  if (requestPath === '' || !requestPath.startsWith('/')) {
+    return `${relPath}: httpHealthCheck.requestPath має бути непорожнім шляхом від кореня (рядок, що починається з /) (abie.mdc)`
+  }
   if (httpHc.port !== 8080) return `${relPath}: httpHealthCheck.port має бути 8080 (abie.mdc)`
   const targetRef = specRec.targetRef
   if (targetRef === null || typeof targetRef !== 'object' || Array.isArray(targetRef)) {

package/scripts/check-changelog.mjs

@@ -127,8 +127,8 @@ async function workspaceHasChangesAgainstBase(baseRef, ws, subWorkspaces) {
   const pathspec = pathspecForWorkspace(ws, subWorkspaces)
   try {
     await execFileAsync('git', ['diff', '--quiet', baseRef, '--', ...pathspec])
-  } catch (err) {
-    const code = /** @type {{ code?: number }} */ (err).code
+  } catch (error) {
+    const code = /** @type {{ code?: number }} */ (error).code
     if (code === 1) return true
     return false
   }

package/scripts/check-vue.mjs

@@ -9,6 +9,10 @@
  *
  * Заборонені явні value-імпорти з `vue` у джерелах пакета — сканування `.vue`/`.ts`/`.js` тощо
  * через **oxc-parser** (`module.staticImports`; див. `utils/vue-forbidden-imports.mjs`); дозволені лише type-only та side-effect `import 'vue'`.
+ *
+ * Окремо в `.vue` SFC заборонено імпорти Node-нативних модулів — `node:*` префікс або bare-ім’я
+ * вбудованого модуля Node (`fs`, `path`, `timers/promises` тощо). Vue SFC виконується у браузері,
+ * де Node API недоступне; такий код треба тримати у server-side утілітах.
  */
 import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
@@ -16,6 +20,7 @@ import { join, relative } from 'node:path'
 
 import { createCheckReporter } from './utils/check-reporter.mjs'
 import {
+  findForbiddenNodeImportsInVueFile,
   findForbiddenVueImportsInSourceFile,
   isVueImportScanSourceFile,
   shouldSkipFileForVueImportScan
@@ -300,6 +305,49 @@ async function checkViteConfig(rootDir, prefix, passFn, fail) {
   return { hasVueAutoImport }
 }
 
+/**
+ * Сканує `.vue` SFC пакета на заборонені імпорти Node-нативних модулів
+ * (`node:*` префікс або bare-ім’я вбудованого модуля Node).
+ * @param {string} rootDir відносний шлях до пакета
+ * @param {string} absPackageRoot абсолютний шлях до кореня пакета
+ * @param {string[]} ignorePaths шляхи, які треба пропускати при обході
+ * @param {string} prefix префікс повідомлень
+ * @param {(msg: string) => void} passFn callback при успішній перевірці
+ * @param {(msg: string) => void} fail callback при помилці
+ */
+async function checkVueNodeImportViolations(rootDir, absPackageRoot, ignorePaths, prefix, passFn, fail) {
+  /** @type {string[]} */
+  const vuePaths = []
+  await walkDir(
+    absPackageRoot,
+    absPath => {
+      const rel = relative(absPackageRoot, absPath).split('\\').join('/')
+      if (!shouldSkipFileForVueImportScan(rel) && rel.endsWith('.vue')) {
+        vuePaths.push(absPath)
+      }
+    },
+    ignorePaths
+  )
+
+  let nodeImportViolations = 0
+  for (const absPath of vuePaths) {
+    const rel = relative(absPackageRoot, absPath).split('\\').join('/')
+    const content = await readFile(absPath, 'utf8')
+    for (const v of findForbiddenNodeImportsInVueFile(content, rel)) {
+      nodeImportViolations++
+      fail(
+        `${prefix}${rel}:${v.line} — імпорт Node-нативного модуля '${v.specifier}' у .vue заборонено ` +
+          `(SFC виконується в браузері, Node API недоступне). Винеси логіку у server-side утіліту. Фрагмент: ${v.snippet}`
+      )
+    }
+  }
+  if (nodeImportViolations === 0) {
+    passFn(
+      `${prefix}немає імпортів Node-нативних модулів у .vue (проскановано ${ukFilesCountPhrase(vuePaths.length)})`
+    )
+  }
+}
+
 /**
  * Сканує джерела пакета на заборонені value-імпорти з vue.
  *
@@ -397,6 +445,7 @@ async function checkVuePackage(rootDir, ignorePaths, fail, passFn) {
 
   const { hasVueAutoImport } = await checkViteConfig(rootDir, prefix, passFn, fail)
   await checkVueImportViolations(rootDir, join(process.cwd(), rootDir), ignorePaths, hasVueAutoImport, prefix, passFn, fail)
+  await checkVueNodeImportViolations(rootDir, join(process.cwd(), rootDir), ignorePaths, prefix, passFn, fail)
   await checkEsbuildMentions(rootDir, join(process.cwd(), rootDir), ignorePaths, prefix, passFn, fail)
 }
 

package/scripts/utils/vue-forbidden-imports.mjs

@@ -1,5 +1,8 @@
 /**
- * Визначає явні імпорти з модуля `vue`, які суперечать vue.mdc (має працювати unplugin-auto-import).
+ * Визначає явні імпорти з модуля `vue`, які суперечать vue.mdc (має працювати unplugin-auto-import),
+ * а також заборонені імпорти Node-нативних модулів у `.vue` SFC (`node:*` префікс або bare ім’я
+ * вбудованого модуля Node — `fs`, `path`, `timers/promises` тощо). Vue SFC виконується у браузері,
+ * де Node API недоступне, тож такі імпорти ламають збірку/рантайм.
  *
  * Аналіз import виконується через **oxc-parser** (`parseSync`, поле `module.staticImports`) — ESTree-сумісний
  * розбір без евристик по рядках. Дозволені лише side-effect `import 'vue'`, повністю type-only імпорти
@@ -8,8 +11,12 @@
  * Для `.vue` з шаблону витягуються лише теги `<script>` / `<script setup>` (регулярний вираз); далі той самий Oxc-парсинг
  * вмісту скрипта з віртуальним ім’ям `*.ts` для режиму TypeScript.
  */
+import { builtinModules } from 'node:module'
+
 import { parseSync } from 'oxc-parser'
 
+const NODE_BUILTIN_MODULES = new Set(builtinModules)
+
 const VUE_EXT_RE = /\.vue$/u
 const SOURCE_FILE_RE = /\.(vue|[cm]?[jt]sx?)$/
 
@@ -179,3 +186,82 @@ export function findForbiddenVueImportsInSourceFile(content, relativePath) {
   const virtualPath = virtualPathForParse(relativePath)
   return findForbiddenVueImportsInText(scan, virtualPath)
 }
+
+/**
+ * Чи є рядок-специфікатор імпортом вбудованого Node-модуля.
+ * Покриває обидві форми: `node:fs`, `node:timers/promises` (явний префікс) і bare-ім’я
+ * вбудованого модуля (`fs`, `path`, `crypto` тощо), включно з підшляхами (`fs/promises`).
+ * @param {string} spec значення `moduleRequest.value` (специфікатор імпорту)
+ * @returns {boolean} `true`, якщо це Node-нативний модуль
+ */
+export function isNodeBuiltinSpecifier(spec) {
+  if (typeof spec !== 'string' || spec.length === 0) {
+    return false
+  }
+  if (spec.startsWith('node:')) {
+    return true
+  }
+  if (NODE_BUILTIN_MODULES.has(spec)) {
+    return true
+  }
+  const slashIdx = spec.indexOf('/')
+  if (slashIdx > 0) {
+    const head = spec.slice(0, slashIdx)
+    if (NODE_BUILTIN_MODULES.has(head)) {
+      return true
+    }
+  }
+  return false
+}
+
+/**
+ * Знаходить заборонені імпорти Node-нативних модулів у вмісті (без `<template>`).
+ * Vue SFC виконується у браузері, тож будь-який Node API там недоступний — навіть type-only
+ * імпорти збивають з пантелику (краще тримати такий код у server-side утілітах).
+ * @param {string} content вихідний код (для `.vue` — вже витягнуті `<script>` блоки)
+ * @param {string} [virtualPath] шлях для вибору `lang` (наприклад віртуальний `*.ts` після `.vue`)
+ * @returns {{ line: number, snippet: string, specifier: string }[]} список порушень з номером рядка
+ */
+export function findForbiddenNodeImportsInText(content, virtualPath = 'scan.ts') {
+  const pathForLang = virtualPath || 'scan.ts'
+  const lang = langFromPath(pathForLang)
+  let result
+  try {
+    result = parseSync(pathForLang, content, { lang, sourceType: 'module' })
+  } catch {
+    return []
+  }
+  if (result.errors?.length) {
+    return []
+  }
+  /** @type {{ line: number, snippet: string, specifier: string }[]} */
+  const out = []
+  for (const imp of result.module.staticImports) {
+    const spec = imp.moduleRequest.value
+    if (isNodeBuiltinSpecifier(spec)) {
+      out.push({
+        line: offsetToLine(content, imp.start),
+        snippet: normalizeSnippet(content.slice(imp.start, imp.end)),
+        specifier: spec
+      })
+    }
+  }
+  return out
+}
+
+/**
+ * Знаходить заборонені імпорти Node-нативних модулів у `.vue` SFC.
+ * Сканує лише `<script>` блоки (template ігноруємо). Для не-`.vue` файлів повертає `[]` —
+ * композаблі/утіліти на Node-side можуть бути в `.ts`/`.js`, а правило стосується SFC.
+ * @param {string} content сирий вміст файлу
+ * @param {string} relativePath шлях відносно кореня пакета або репо
+ * @returns {{ line: number, snippet: string, specifier: string }[]} список порушень
+ */
+export function findForbiddenNodeImportsInVueFile(content, relativePath) {
+  if (!relativePath.endsWith('.vue')) {
+    return []
+  }
+  const scan = extractVueScriptBlocks(content)
+  const virtualPath = virtualPathForParse(relativePath)
+  return findForbiddenNodeImportsInText(scan, virtualPath)
+}