@nitra/cursor 1.8.180 → 1.8.184

package/scripts/check-js-bun-db.mjs

@@ -23,7 +23,7 @@
  */
 import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
-import { join, relative, sep } from 'node:path'
+import { join, relative } from 'node:path'
 
 import { createCheckReporter } from './utils/check-reporter.mjs'
 import {
@@ -35,6 +35,7 @@ import {
   isBunSqlScanSourceFile,
   textHasBunSqlImport
 } from './utils/bun-sql-scan.mjs'
+import { findAllPackageJsonPaths } from './utils/find-package-json-paths.mjs'
 import { loadCursorIgnorePaths } from './utils/load-cursor-config.mjs'
 import { walkDir } from './utils/walkDir.mjs'
 
@@ -50,30 +51,10 @@ function asObject(v) {
   return /** @type {Record<string, unknown>} */ (v)
 }
 
-/**
- * Знаходить всі `package.json` у репозиторії (крім пропущених директорій у walkDir).
- * @param {string} repoRoot абсолютний шлях до кореня репозиторію
- * @returns {Promise<string[]>} абсолютні шляхи, відсортовані за відносним шляхом
- */
-async function findAllPackageJsonPaths(repoRoot, ignorePaths) {
-  /** @type {string[]} */
-  const paths = []
-  await walkDir(
-    repoRoot,
-    absPath => {
-      if (absPath.endsWith(`${sep}package.json`)) {
-        paths.push(absPath)
-      }
-    },
-    ignorePaths
-  )
-  paths.sort((a, b) => relative(repoRoot, a).localeCompare(relative(repoRoot, b)))
-  return paths
-}
-
 /**
  * Збирає абсолютні шляхи JS/TS джерел у репозиторії для скану Bun SQL патернів.
  * @param {string} repoRoot абсолютний шлях до кореня репозиторію
+ * @param {string[]} ignorePaths абсолютні шляхи каталогів, повністю виключених з обходу
  * @returns {Promise<string[]>} абсолютні шляхи, відсортовані за відносним шляхом
  */
 async function findAllSourcePathsForBunSqlScan(repoRoot, ignorePaths) {

package/scripts/check-js-lint.mjs

@@ -145,7 +145,9 @@ function compareOxlintIgnorePatterns(expected, actual, failures) {
     return
   }
   if (!Array.isArray(actual)) {
-    failures.push('.oxlintrc.json: поле "ignorePatterns" має бути масивом (канон задає мінімум, додаткові патерни дозволені)')
+    failures.push(
+      '.oxlintrc.json: поле "ignorePatterns" має бути масивом (канон задає мінімум, додаткові патерни дозволені)'
+    )
     return
   }
   const set = new Set(actual)

package/scripts/check-js-mssql.mjs

@@ -10,9 +10,10 @@
  */
 import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
-import { join, relative, sep } from 'node:path'
+import { join, relative } from 'node:path'
 
 import { createCheckReporter } from './utils/check-reporter.mjs'
+import { findAllPackageJsonPaths } from './utils/find-package-json-paths.mjs'
 import {
   findMssqlPerRequestConnectionInText,
   findSharedMssqlRequestInText,
@@ -31,30 +32,10 @@ const SEMVER_RE = /^(\d+)\.(\d+)\.(\d+)/u
 /** Мінімальна дозволена версія mssql (js-mssql.mdc). */
 const MIN_MSSQL_VERSION = { major: 12, minor: 5, patch: 0 }
 
-/**
- * Знаходить всі `package.json` у репозиторії (крім пропущених директорій у walkDir).
- * @param {string} repoRoot абсолютний шлях до кореня репозиторію
- * @returns {Promise<string[]>} абсолютні шляхи, відсортовані за відносним шляхом
- */
-async function findAllPackageJsonPaths(repoRoot, ignorePaths) {
-  /** @type {string[]} */
-  const paths = []
-  await walkDir(
-    repoRoot,
-    absPath => {
-      if (absPath.endsWith(`${sep}package.json`)) {
-        paths.push(absPath)
-      }
-    },
-    ignorePaths
-  )
-  paths.sort((a, b) => relative(repoRoot, a).localeCompare(relative(repoRoot, b)))
-  return paths
-}
-
 /**
  * Збирає абсолютні шляхи JS/TS джерел у репозиторії для скану mssql.
  * @param {string} repoRoot абсолютний шлях до кореня репозиторію
+ * @param {string[]} ignorePaths абсолютні шляхи каталогів, повністю виключених з обходу
  * @returns {Promise<string[]>} абсолютні шляхи, відсортовані за відносним шляхом
  */
 async function findAllSourcePathsForMssqlScan(repoRoot, ignorePaths) {
@@ -258,9 +239,10 @@ function reportZeroMssqlSourceViolations(counters, pass) {
 /**
  * Аудит усіх JS/TS-джерел репо щодо безпечного використання mssql.
  * @param {string} repoRoot корінь репозиторію
+ * @param {string[]} ignorePaths абсолютні шляхи каталогів, повністю виключених з обходу
  * @param {(msg: string) => void} pass pass callback
  * @param {(msg: string) => void} fail fail callback
- * @returns {Promise<void>}
+ * @returns {Promise<void>} резолвиться по завершенню аудиту всіх знайдених джерел
  */
 async function auditMssqlSources(repoRoot, ignorePaths, pass, fail) {
   const sourcePaths = await findAllSourcePathsForMssqlScan(repoRoot, ignorePaths)

package/scripts/check-js-run.mjs

@@ -17,7 +17,11 @@
  *    `node:process` (для опційних). Коли `env` імпортовано з `@nitra/check-env`,
  *    кожен `env.X` має бути закритий літеральним викликом `checkEnv(['X', ...])`
  *    у тому ж файлі або коментарем `// \@nitra/cursor ignore-next-line checkEnv`
- *    на попередньому рядку (див. `utils/check-env-scan.mjs`).
+ *    на попередньому рядку (див. `utils/check-env-scan.mjs`);
+ *  - «depcheck у GitHub Actions з path-фільтром»: для кожного workflow з `paths:`,
+ *    обмеженим каталогом цього пакета (`<rootDir>/...`), має бути крок
+ *    `npx depcheck --ignores="graphql,bun"` (плюс інші, за потреби) з
+ *    `working-directory: <rootDir>` (див. `utils/depcheck-workflow.mjs`).
  */
 import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
@@ -30,6 +34,7 @@ import {
 } from './utils/bunyan-imports.mjs'
 import { findUncheckedProcessEnvInText, isCheckEnvScanSourceFile } from './utils/check-env-scan.mjs'
 import { createCheckReporter } from './utils/check-reporter.mjs'
+import { findDepcheckViolationsForPackage, readAllWorkflowFiles } from './utils/depcheck-workflow.mjs'
 import {
   findConnFactoryImportsInText,
   isConnImportsScanSourceFile,
@@ -161,11 +166,12 @@ async function checkProcessEnvUsage(absPackageRoot, sourcePaths, label, fail) {
  * Перевіряє відповідність правилам js-run.mdc для одного workspace-пакета.
  * @param {string} rootDir відносний шлях workspace (не `'.'`)
  * @param {string[]} ignorePaths абсолютні шляхи каталогів, повністю виключених з обходу
+ * @param {{ relPath: string, content: string }[]} workflows кешований список workflow-файлів репо
  * @param {(msg: string) => void} fail функція зворотного виклику для реєстрації помилки перевірки
  * @param {(msg: string) => void} passFn успішне повідомлення (як у check-reporter)
  * @returns {Promise<void>} завершується після перевірок цього пакета
  */
-async function checkWorkspacePackage(rootDir, ignorePaths, fail, passFn) {
+async function checkWorkspacePackage(rootDir, ignorePaths, workflows, fail, passFn) {
   const label = `[${rootDir}] `
   const absPackageRoot = join(process.cwd(), rootDir)
   const pkgJson = await loadPackageJsonAndCheckBunyanDeps(rootDir, label, fail)
@@ -200,6 +206,33 @@ async function checkWorkspacePackage(rootDir, ignorePaths, fail, passFn) {
   }
 
   await checkOtelConfigmap(rootDir, label, fail, passFn)
+
+  checkDepcheckInWorkflows(rootDir, workflows, label, fail, passFn)
+}
+
+/**
+ * Перевіряє правило «depcheck у workflow» для одного пакета.
+ *
+ * Для кожного `.github/workflows/*.yml`, чий `paths:` обмежено до `<rootDir>/...`,
+ * має бути крок `npx depcheck --ignores="graphql,bun"` з `working-directory: <rootDir>`.
+ * Якщо в репо немає каталогу `.github/workflows`, перевірка no-op.
+ * @param {string} rootDir відносний шлях workspace-пакета
+ * @param {{ relPath: string, content: string }[]} workflows кешований список workflow-файлів
+ * @param {string} label префікс повідомлення `[<pkg>] `
+ * @param {(msg: string) => void} fail callback при помилці
+ * @param {(msg: string) => void} passFn успішне повідомлення
+ * @returns {void}
+ */
+function checkDepcheckInWorkflows(rootDir, workflows, label, fail, passFn) {
+  if (workflows.length === 0) return
+  const violations = findDepcheckViolationsForPackage(workflows, rootDir.replace(/\\/g, '/'))
+  if (violations.length === 0) {
+    passFn(`${label}depcheck у path-scoped workflow налаштовано (або відсутній path-scoped workflow для пакета)`)
+    return
+  }
+  for (const v of violations) {
+    fail(`${label}${v}`)
+  }
 }
 
 /**
@@ -281,8 +314,9 @@ export async function check() {
   }
 
   const ignorePaths = await loadCursorIgnorePaths(process.cwd())
+  const workflows = await readAllWorkflowFiles(process.cwd())
   for (const r of workspaceRoots) {
-    await checkWorkspacePackage(r, ignorePaths, fail, pass)
+    await checkWorkspacePackage(r, ignorePaths, workflows, fail, pass)
   }
 
   return reporter.getExitCode()

package/scripts/check-k8s.mjs

@@ -1339,43 +1339,44 @@ function failIfExplicitPatchTargetsNotInCatalog(rel, first, catalog, fail) {
  * @returns {void}
  */
 function failIfExplicitPatchTargetsHaveRedundantGroupVersion(rel, first, catalog, fail) {
-  for (const { section, index, target } of extractExplicitPatchTargetsFromKustomization(first)) {
-    if (target === null || typeof target !== 'object' || Array.isArray(target)) {
-      continue
-    }
-    const t = /** @type {Record<string, unknown>} */ (target)
-    const kind = typeof t.kind === 'string' ? t.kind.trim() : ''
-    const name = typeof t.name === 'string' ? t.name.trim() : ''
-    if (kind === '' || name === '') {
-      continue
-    }
-    if (patchTargetUsesSelector(t)) {
-      continue
-    }
-    const tgtGroup = typeof t.group === 'string' ? t.group.trim() : ''
-    const tgtVersion = typeof t.version === 'string' ? t.version.trim() : ''
-    if (tgtGroup === '' && tgtVersion === '') {
-      continue
-    }
-    const matchingByKindName = catalog.filter(r => r.kind === kind && r.name === name)
-    const distinctGvk = new Set(matchingByKindName.map(r => `${r.group}/${r.version}`))
-    if (distinctGvk.size > 1) {
-      continue
-    }
-    /** @type {string[]} */
-    const redundant = []
-    if (tgtGroup !== '') {
-      redundant.push('group')
-    }
-    if (tgtVersion !== '') {
-      redundant.push('version')
-    }
+  for (const entry of extractExplicitPatchTargetsFromKustomization(first)) {
+    const violation = describePatchTargetRedundancy(entry, catalog)
+    if (violation === null) continue
+    const { section, index, kind, name, redundant } = violation
     fail(
       `${rel}: ${section}[${index}].target — прибери зайві поля ${redundant.join(', ')}; для kind=${kind}, name=${name} в інвентарі немає колізії між різними API-групами/версіями (див. k8s.mdc «patches[].target: лише kind і name»)`
     )
   }
 }
 
+/**
+ * Аналізує один patch.target: повертає опис надлишкових полів `group`/`version`,
+ * якщо в інвентарі для пари (kind, name) немає колізії GVK; інакше `null`.
+ * @param {{ section: string, index: number, target: unknown }} entry елемент із `extractExplicitPatchTargetsFromKustomization`
+ * @param {KustomizeResourceDescriptor[]} catalog інвентар resources/bases/…
+ * @returns {{ section: string, index: number, kind: string, name: string, redundant: string[] } | null} опис порушення або `null`
+ */
+function describePatchTargetRedundancy(entry, catalog) {
+  const { section, index, target } = entry
+  if (target === null || typeof target !== 'object' || Array.isArray(target)) return null
+  const t = /** @type {Record<string, unknown>} */ (target)
+  const kind = typeof t.kind === 'string' ? t.kind.trim() : ''
+  const name = typeof t.name === 'string' ? t.name.trim() : ''
+  if (kind === '' || name === '') return null
+  if (patchTargetUsesSelector(t)) return null
+  const tgtGroup = typeof t.group === 'string' ? t.group.trim() : ''
+  const tgtVersion = typeof t.version === 'string' ? t.version.trim() : ''
+  if (tgtGroup === '' && tgtVersion === '') return null
+  const matchingByKindName = catalog.filter(r => r.kind === kind && r.name === name)
+  const distinctGvk = new Set(matchingByKindName.map(r => `${r.group}/${r.version}`))
+  if (distinctGvk.size > 1) return null
+  /** @type {string[]} */
+  const redundant = []
+  if (tgtGroup !== '') redundant.push('group')
+  if (tgtVersion !== '') redundant.push('version')
+  return { section, index, kind, name, redundant }
+}
+
 /**
  * Документи з YAML-файлу мають мати дескриптор у **catalog** (інвентар resources).
  * @param {string} rel відносний шлях до kustomization.yaml

package/scripts/check-vue.mjs

@@ -115,6 +115,7 @@ async function collectEsbuildMatchesInFiles(absPackageRoot, files, maxMatches) {
  * Сканує дерево пакета на згадки `esbuild` і підказує заміну на `rolldown`.
  * @param {string} rootDir відносний шлях до пакета
  * @param {string} absPackageRoot абсолютний шлях до кореня пакета
+ * @param {string[]} ignorePaths абсолютні шляхи каталогів, повністю виключених з обходу
  * @param {string} prefix параметр prefix
  * @param {(msg: string) => void} passFn callback при успішній перевірці
  * @param {(msg: string) => void} fail callback при помилці
@@ -342,9 +343,7 @@ async function checkVueNodeImportViolations(rootDir, absPackageRoot, ignorePaths
     }
   }
   if (nodeImportViolations === 0) {
-    passFn(
-      `${prefix}немає імпортів Node-нативних модулів у .vue (проскановано ${ukFilesCountPhrase(vuePaths.length)})`
-    )
+    passFn(`${prefix}немає імпортів Node-нативних модулів у .vue (проскановано ${ukFilesCountPhrase(vuePaths.length)})`)
   }
 }
 
@@ -354,18 +353,17 @@ async function checkVueNodeImportViolations(rootDir, absPackageRoot, ignorePaths
  * Якщо `unplugin-auto-import` не сконфігурований на `'vue'` у `vite.config`, явні value-імпорти
  * формально не заборонені — їх видалення зламає код. У цьому випадку перевірка пропускається,
  * а fail про відсутній `'vue'` у `AutoImport.imports` уже зареєстровано в `checkViteConfig`.
- * @param {string} rootDir параметр rootDir
- * @param {string} absPackageRoot параметр absPackageRoot
- * @param {string} prefix параметр prefix
+ * @param {string} rootDir відносний шлях до пакета
+ * @param {string} absPackageRoot абсолютний шлях до кореня пакета
+ * @param {string[]} ignorePaths абсолютні шляхи каталогів, повністю виключених з обходу
  * @param {boolean} hasVueAutoImport чи `AutoImport({ imports: [..., 'vue', ...] })` сконфігуровано
+ * @param {string} prefix префікс повідомлення `[<pkg>] `
  * @param {(msg: string) => void} passFn callback при успішній перевірці
  * @param {(msg: string) => void} fail callback при помилці
  */
 async function checkVueImportViolations(rootDir, absPackageRoot, ignorePaths, hasVueAutoImport, prefix, passFn, fail) {
   if (!hasVueAutoImport) {
-    passFn(
-      `${prefix}value-імпорти з 'vue' не заборонені — спершу додай 'vue' до AutoImport.imports у vite.config`
-    )
+    passFn(`${prefix}value-імпорти з 'vue' не заборонені — спершу додай 'vue' до AutoImport.imports у vite.config`)
     return
   }
   /** @type {string[]} */
@@ -400,6 +398,7 @@ async function checkVueImportViolations(rootDir, absPackageRoot, ignorePaths, ha
 /**
  * Перевіряє залежності та vite.config одного Vue-пакета.
  * @param {string} rootDir відносний шлях до пакета
+ * @param {string[]} ignorePaths абсолютні шляхи каталогів, повністю виключених з обходу
  * @param {(msg: string) => void} fail функція зворотного виклику для реєстрації помилки перевірки
  * @param {(msg: string) => void} passFn успішне повідомлення (як у check-reporter)
  * @returns {Promise<void>} завершується після перевірок залежностей, `vite.config` і сканування джерел на імпорти з `vue`
@@ -444,7 +443,15 @@ async function checkVuePackage(rootDir, ignorePaths, fail, passFn) {
   )
 
   const { hasVueAutoImport } = await checkViteConfig(rootDir, prefix, passFn, fail)
-  await checkVueImportViolations(rootDir, join(process.cwd(), rootDir), ignorePaths, hasVueAutoImport, prefix, passFn, fail)
+  await checkVueImportViolations(
+    rootDir,
+    join(process.cwd(), rootDir),
+    ignorePaths,
+    hasVueAutoImport,
+    prefix,
+    passFn,
+    fail
+  )
   await checkVueNodeImportViolations(rootDir, join(process.cwd(), rootDir), ignorePaths, prefix, passFn, fail)
   await checkEsbuildMentions(rootDir, join(process.cwd(), rootDir), ignorePaths, prefix, passFn, fail)
 }

package/scripts/claude-stop-hook.mjs

@@ -62,6 +62,7 @@ export async function runStopHookCli() {
   if (isRecursiveStopHookCall(stdin)) {
     return 0
   }
+  // eslint-disable-next-line sonarjs/no-os-command-from-path -- npx як стандартне dev-середовище через PATH; альтернативи (хардкод шляху) непортативні
   const child = spawn('npx', ['--no', '@nitra/cursor', 'check'], { stdio: 'inherit' })
   try {
     const [code] = await once(child, 'exit')

package/scripts/lint-ga.mjs

@@ -18,7 +18,6 @@ import { resolveCmd } from './utils/resolve-cmd.mjs'
 
 /**
  * Опис залежності preflight-ом: бінарник, для чого потрібен, і команди встановлення.
- *
  * @typedef {object} PreflightDep
  * @property {string} bin ім'я виконуваного файлу (на Windows додається `.exe` за потреби)
  * @property {string[]} winBins альтернативні імена на Windows (`shellcheck.exe`); якщо нема — fallback на `bin`

package/scripts/run-docker.mjs

@@ -29,6 +29,7 @@ export function isLintDockerfileName(name) {
 /**
  * Збирає абсолютні шляхи для lint-docker.
  * @param {string} root корінь репозиторію
+ * @param {string[]} [ignorePaths] абсолютні шляхи каталогів, повністю виключених з обходу
  * @returns {Promise<string[]>} відсортовані абсолютні шляхи
  */
 export async function findLintDockerfilePaths(root, ignorePaths = []) {

package/scripts/run-k8s.mjs

@@ -59,6 +59,7 @@ export function k8sRootFromFile(absFile) {
 /**
  * Унікальні корені `k8s` за наявності `*.yaml` під деревом cwd.
  * @param {string} root корінь репозиторію
+ * @param {string[]} [ignorePaths] абсолютні шляхи каталогів, повністю виключених з обходу
  * @returns {Promise<string[]>} відсортовані абсолютні шляхи до каталогів `k8s`
  */
 export async function findK8sRoots(root, ignorePaths = []) {

package/scripts/utils/bun-sql-scan.mjs

@@ -296,8 +296,7 @@ export function findBunSqlPerRequestConnectionInText(content, virtualPath = 'sca
  * на тому ж рядку або рядком вище. `sql.unsafe` за замовчуванням заборонено: дозволено
  * лише коли значення контролюється кодом (не user input) і потрібно підставити те, що
  * не можна параметризувати — назву таблиці/колонки або dynamic SQL/DDL. У всіх інших
- * випадках — переробити на tagged template `sql\`...\${value}...\``.
- *
+ * випадках — переробити на tagged template виду `sql` із інтерполяцією значень.
  * Маркер-коментар фіксує причину для ревʼюера й одночасно слугує opt-in: без нього
  * перевірка падає, навіть якщо у `unsafe` лежить статичний рядок без інтерполяції.
  * @param {string} content вихідний код

package/scripts/utils/depcheck-workflow.mjs

@@ -0,0 +1,188 @@
+/**
+ * Аналіз GitHub Actions workflow на правило «depcheck для path-scoped backend-пакета»
+ * (див. секцію в `npm/mdc/js-run.mdc`).
+ *
+ * Алгоритм для одного workspace-пакета (`<rootDir>`):
+ *  1. Шукаємо всі workflow, у яких `on.push.paths` або `on.pull_request.paths` містить
+ *     glob, що починається з `<rootDir>/` — це означає, що workflow обмежено саме цим пакетом
+ *     (повністю або частково).
+ *  2. У кожному такому workflow має бути крок, чий `run` починається з `npx depcheck …`,
+ *     `working-directory` дорівнює `<rootDir>`, а список `--ignores="…"` містить
+ *     щонайменше `graphql` і `bun` (інші значення допустимі).
+ *
+ * Якщо паттерн `paths:` стосується цього пакета, але крок depcheck відсутній / без потрібних
+ * ignores / у неправильному working-directory — фіксується порушення.
+ *
+ * Workflow без `paths:` або з глобальними патернами (`**\/*.js`, `npm/**`) ігноруються —
+ * вони не «належать» жодному окремому пакету і виходять за межі правила.
+ */
+import { readdir, readFile } from 'node:fs/promises'
+import { join, relative } from 'node:path'
+
+import {
+  flattenWorkflowSteps,
+  getStepRun,
+  parseWorkflowYaml
+} from './gha-workflow.mjs'
+
+const WORKFLOWS_DIR_REL = '.github/workflows'
+const REQUIRED_IGNORES = ['graphql', 'bun']
+const DEPCHECK_RUN_RE = /(?:^|[\s;&|])npx\s+depcheck\b([^\n]*)/u
+const IGNORES_FLAG_RE = /--ignores\s*=?\s*(?:"([^"]*)"|'([^']*)'|([^\s"']+))/u
+
+/**
+ * Чи містить workflow.on[event].paths хоча б один patten, що починається з `<pkgRoot>/`.
+ * @param {Record<string, unknown>} root корінь workflow
+ * @param {string} pkgRoot відносний (POSIX) шлях каталогу пакета (наприклад `cron-jobs/refund-loyalty-points`)
+ * @returns {boolean} `true`, якщо знайдено хоча б один підходящий glob
+ */
+export function workflowHasPathsScopedToPackage(root, pkgRoot) {
+  const prefix = `${pkgRoot.replace(/\\/g, '/').replace(/\/+$/, '')}/`
+  const on = root?.on
+  if (!on || typeof on !== 'object') return false
+  for (const event of /** @type {const} */ (['push', 'pull_request'])) {
+    const ev = /** @type {Record<string, unknown>} */ (on)[event]
+    if (!ev || typeof ev !== 'object') continue
+    const paths = /** @type {Record<string, unknown>} */ (ev).paths
+    if (!Array.isArray(paths)) continue
+    if (paths.some(p => typeof p === 'string' && p.startsWith(prefix))) return true
+  }
+  return false
+}
+
+/**
+ * Розбирає `--ignores="a,b,c"` (також `--ignores=a,b`, single-quotes тощо) з аргументів `npx depcheck`.
+ * @param {string} depcheckArgs частина рядка `run` після `npx depcheck`
+ * @returns {string[] | null} масив значень ignores або `null`, якщо прапор відсутній
+ */
+export function parseDepcheckIgnoresArg(depcheckArgs) {
+  const m = IGNORES_FLAG_RE.exec(depcheckArgs)
+  if (!m) return null
+  const raw = m[1] ?? m[2] ?? m[3] ?? ''
+  return raw
+    .split(',')
+    .map(s => s.trim())
+    .filter(s => s.length > 0)
+}
+
+/**
+ * Шукає `npx depcheck` у `run` кроку. Повертає рядок аргументів після `npx depcheck` або `null`.
+ * @param {string} runText значення `run:` (можливо багаторядкове)
+ * @returns {string | null} текст аргументів depcheck або `null`
+ */
+export function extractDepcheckArgs(runText) {
+  if (typeof runText !== 'string' || runText.length === 0) return null
+  const m = DEPCHECK_RUN_RE.exec(runText)
+  return m ? m[1] : null
+}
+
+/**
+ * Чи `working-directory` кроку дорівнює очікуваному pkgRoot (з нормалізацією слешів і хвостових `/`).
+ * @param {Record<string, unknown>} step об'єкт кроку
+ * @param {string} pkgRoot очікуваний шлях
+ * @returns {boolean} `true`, якщо збігаються
+ */
+export function stepWorkingDirectoryEquals(step, pkgRoot) {
+  const wd = step['working-directory']
+  if (typeof wd !== 'string') return false
+  const norm = wd.replace(/\\/g, '/').replace(/\/+$/, '')
+  const expected = pkgRoot.replace(/\\/g, '/').replace(/\/+$/, '')
+  return norm === expected
+}
+
+/**
+ * Перевіряє один workflow на наявність валідного depcheck-кроку для пакета.
+ * @param {Record<string, unknown>} root корінь workflow
+ * @param {string} pkgRoot відносний шлях пакета
+ * @returns {{ kind: 'ok' } | { kind: 'missing' } | { kind: 'wrong-cwd', actual: string } | { kind: 'missing-ignores', missing: string[] }} результат
+ */
+export function evaluateDepcheckStepForPackage(root, pkgRoot) {
+  /** @type {{ args: string, step: Record<string, unknown> }[]} */
+  const depcheckSteps = []
+  for (const { step } of flattenWorkflowSteps(root)) {
+    const args = extractDepcheckArgs(getStepRun(step))
+    if (args !== null) depcheckSteps.push({ args, step })
+  }
+  if (depcheckSteps.length === 0) return { kind: 'missing' }
+
+  // Серед усіх знайдених depcheck-кроків шукаємо хоча б один, що відповідає пакету.
+  const stepsForThisPackage = depcheckSteps.filter(s => stepWorkingDirectoryEquals(s.step, pkgRoot))
+  if (stepsForThisPackage.length === 0) {
+    const actual = depcheckSteps
+      .map(s => /** @type {string} */ (s.step['working-directory'] ?? '<repo root>'))
+      .join(', ')
+    return { kind: 'wrong-cwd', actual }
+  }
+
+  for (const { args } of stepsForThisPackage) {
+    const ignores = parseDepcheckIgnoresArg(args) ?? []
+    const missing = REQUIRED_IGNORES.filter(req => !ignores.includes(req))
+    if (missing.length === 0) return { kind: 'ok' }
+  }
+  // Усі знайдені кроки існують, але жоден не має повного списку обов'язкових ignores —
+  // повертаємо missing з першого, щоб дати конкретний фідбек.
+  const firstMissing = REQUIRED_IGNORES.filter(
+    req => !((parseDepcheckIgnoresArg(stepsForThisPackage[0].args) ?? []).includes(req))
+  )
+  return { kind: 'missing-ignores', missing: firstMissing }
+}
+
+/**
+ * Зчитує всі `.github/workflows/*.yml` (без `*.yaml` — за правилом n-ga) з коренем у `repoRoot`.
+ * @param {string} repoRoot абсолютний корінь репозиторію
+ * @returns {Promise<{ relPath: string, content: string }[]>} список workflow-файлів
+ */
+export async function readAllWorkflowFiles(repoRoot) {
+  const dir = join(repoRoot, WORKFLOWS_DIR_REL)
+  /** @type {{ relPath: string, content: string }[]} */
+  const out = []
+  let entries
+  try {
+    entries = await readdir(dir, { withFileTypes: true })
+  } catch {
+    return out
+  }
+  for (const ent of entries) {
+    if (!ent.isFile() || !ent.name.endsWith('.yml')) continue
+    const abs = join(dir, ent.name)
+    const content = await readFile(abs, 'utf8')
+    out.push({ relPath: relative(repoRoot, abs).split('\\').join('/'), content })
+  }
+  return out
+}
+
+/**
+ * Знаходить порушення правила depcheck для конкретного workspace-пакета.
+ *
+ * Повертає список повідомлень про порушення (порожній — все ok). Для кожного workflow,
+ * чий `paths:` обмежено до цього пакета, перевіряє, що серед кроків є валідний `npx depcheck`
+ * з потрібним `working-directory` та `--ignores`.
+ * @param {{ relPath: string, content: string }[]} workflows список workflow-файлів (з `readAllWorkflowFiles`)
+ * @param {string} pkgRoot відносний шлях workspace-пакета
+ * @returns {string[]} повідомлення про порушення, по одному на workflow
+ */
+export function findDepcheckViolationsForPackage(workflows, pkgRoot) {
+  /** @type {string[]} */
+  const violations = []
+  for (const { relPath, content } of workflows) {
+    const root = parseWorkflowYaml(content)
+    if (!root) continue
+    if (!workflowHasPathsScopedToPackage(root, pkgRoot)) continue
+    const result = evaluateDepcheckStepForPackage(root, pkgRoot)
+    if (result.kind === 'ok') continue
+    if (result.kind === 'missing') {
+      violations.push(
+        `${relPath}: paths обмежено до '${pkgRoot}/**', але немає кроку 'npx depcheck --ignores="graphql,bun"' з working-directory: ${pkgRoot}`
+      )
+    } else if (result.kind === 'wrong-cwd') {
+      violations.push(
+        `${relPath}: 'npx depcheck' знайдено, але working-directory не дорівнює '${pkgRoot}' (фактично: ${result.actual})`
+      )
+    } else {
+      violations.push(
+        `${relPath}: 'npx depcheck' у '${pkgRoot}' має містити --ignores з '${result.missing.join(',')}' (мінімум: graphql,bun)`
+      )
+    }
+  }
+  return violations
+}

package/scripts/utils/find-package-json-paths.mjs

@@ -0,0 +1,30 @@
+/**
+ * Спільна утиліта для check-скриптів: збирає всі `package.json` у дереві (крім пропущених
+ * каталогів у `walkDir`), сортує за відносним шляхом. Винесена з check-js-bun-db / check-js-mssql,
+ * щоб уникнути дублювання (jscpd).
+ */
+import { relative, sep } from 'node:path'
+
+import { walkDir } from './walkDir.mjs'
+
+/**
+ * Знаходить всі `package.json` у репозиторії (крім пропущених директорій у walkDir).
+ * @param {string} repoRoot абсолютний шлях до кореня репозиторію
+ * @param {string[]} ignorePaths абсолютні шляхи каталогів, повністю виключених з обходу
+ * @returns {Promise<string[]>} абсолютні шляхи, відсортовані за відносним шляхом
+ */
+export async function findAllPackageJsonPaths(repoRoot, ignorePaths) {
+  /** @type {string[]} */
+  const paths = []
+  await walkDir(
+    repoRoot,
+    absPath => {
+      if (absPath.endsWith(`${sep}package.json`)) {
+        paths.push(absPath)
+      }
+    },
+    ignorePaths
+  )
+  paths.sort((a, b) => relative(repoRoot, a).localeCompare(relative(repoRoot, b)))
+  return paths
+}

package/scripts/utils/load-cursor-config.mjs

@@ -20,7 +20,9 @@ const CONFIG_FILE = '.n-cursor.json'
 function toAbsPosix(root, p) {
   const trimmed = String(p).trim()
   const abs = isAbsolute(trimmed) ? trimmed : resolve(root, trimmed)
-  return abs.split(sep).join('/').replace(/\/+$/, '')
+  let posix = abs.split(sep).join('/')
+  while (posix.endsWith('/')) posix = posix.slice(0, -1)
+  return posix
 }
 
 /**

package/scripts/utils/oxlint-canonical.json

@@ -1,17 +1,7 @@
 {
   "$schema": "./node_modules/oxlint/configuration_schema.json",
-  "plugins": [
-    "unicorn",
-    "oxc",
-    "import",
-    "jsdoc",
-    "promise",
-    "node",
-    "vue"
-  ],
-  "jsPlugins": [
-    "@e18e/eslint-plugin"
-  ],
+  "plugins": ["unicorn", "oxc", "import", "jsdoc", "promise", "node", "vue"],
+  "jsPlugins": ["@e18e/eslint-plugin"],
   "categories": {},
   "rules": {
     "e18e/prefer-includes": "error",
@@ -393,8 +383,5 @@
     "builtin": true
   },
   "globals": {},
-  "ignorePatterns": [
-    "**/schema.graphql",
-    "**/auto-imports.d.ts"
-  ]
+  "ignorePatterns": ["**/schema.graphql", "**/auto-imports.d.ts"]
 }