@nitra/cursor 1.8.2 → 1.8.5

package/github-actions/setup-bun-deps/action.yml

@@ -1,13 +1,11 @@
+# yaml-language-server: $schema=https://json.schemastore.org/github-action.json
+
 name: Setup Bun dependencies
-description: Checkout, Node 24, Bun, cache та bun install --frozen-lockfile
+description: Node 24, Bun, cache та bun install --frozen-lockfile (checkout — окремим кроком у workflow)
 
 runs:
   using: composite
   steps:
-    - uses: actions/checkout@v6
-      with:
-        persist-credentials: false
-
     - uses: actions/setup-node@v6
       with:
         node-version: '24'

package/mdc/ga.mdc

@@ -1,7 +1,7 @@
 ---
 description: Правила форматів для .github/workflows
 alwaysApply: true
-version: '1.2'
+version: '1.3'
 ---
 
 У `.github/workflows/` лише **`.yml`**. Мають бути **`clean-ga-workflows.yml`**, **`clean-merged-branch.yml`**, **`lint-ga.yml`**. Якщо є **`apply-k8s.yml`** / **`apply-nats-consumer.yml`** — paths у тригері як у фрагментах.
@@ -96,6 +96,10 @@ jobs:
     permissions:
       contents: read
     steps:
+      - uses: actions/checkout@v6
+        with:
+          persist-credentials: false
+
       - uses: ./.github/actions/setup-bun-deps
 
       - uses: astral-sh/setup-uv@v8.0.0
@@ -104,7 +108,7 @@ jobs:
         run: bun run lint-ga
 ```
 
-Composite **`.github/actions/setup-bun-deps/action.yml`**: **`actions/checkout@v6`** (`persist-credentials: false`), **`actions/setup-node@v6`** (**Node 24**), **Bun**, **`actions/cache@v5`** і **`bun install --frozen-lockfile`**. У job достатньо **`- uses: ./.github/actions/setup-bun-deps`**.
+**Локальний composite** (`uses: ./.github/actions/setup-bun-deps` або `./npm/github-actions/setup-bun-deps`): **спочатку** обов’язковий крок **`actions/checkout@v6`** (`persist-credentials: false`), інакше runner не знайде `action.yml`. Сам composite: **`actions/setup-node@v6`** (**Node 24**), **Bun**, **`actions/cache@v5`**, **`bun install --frozen-lockfile`**.
 
 ```json title=".vscode/extensions.json"
 {

package/mdc/js-lint.mdc

@@ -1,7 +1,7 @@
 ---
 description: Перевірка JavaScript коду
 alwaysApply: true
-version: '1.7'
+version: '1.8'
 ---
 
 **oxlint**, **ESLint**, **jscpd**. У скрипті **`lint-js`:** `oxlint` (без `bunx`), **`bunx eslint`**, **`bunx jscpd`**; у CI — `bunx oxlint` / `bunx eslint` / `bunx jscpd`. Без **prettier** і **@nitra/prettier-config**. Достатньо **`@nitra/eslint-config`** у devDependencies; пакети oxlint/eslint/jscpd не додавай без потреби монорепо.
@@ -86,6 +86,10 @@ jobs:
     permissions:
       contents: read
     steps:
+      - uses: actions/checkout@v6
+        with:
+          persist-credentials: false
+
       - uses: ./.github/actions/setup-bun-deps
 
       - name: Eslint
@@ -95,7 +99,7 @@ jobs:
           bunx jscpd .
 ```
 
-Composite **`.github/actions/setup-bun-deps/action.yml`** — checkout, Node 24, Bun, кеш і `bun install --frozen-lockfile` (див. **ga.mdc**).
+Перед **`./.github/actions/setup-bun-deps`** — **`actions/checkout@v6`** (див. **ga.mdc**). Composite: Node 24, Bun, кеш, `bun install --frozen-lockfile`.
 
 Один workflow на лінт JS; зайвий `lint.yml` з тими самими кроками — прибери.
 

package/mdc/k8s.mdc

@@ -1,6 +1,6 @@
 ---
 description: K8s YAML — $schema (yaml-language-server); lint-k8s (kubeconform, kubescape); check-k8s
-version: '1.10'
+version: '1.12'
 globs: "**/k8s/**/*.{yaml,yml}"
 alwaysApply: false
 ---
@@ -124,7 +124,7 @@ jobs:
 При зміні правил синхронно оновлюй **`YANNH_PIN`**, **`YANNH_REF`** (якщо зміниться гілка за замовчуванням у репо yannh), **`YANNH_GROUPS`**, **`DATREE_CRD_BASE`** (GitHub Pages каталогу CRD), а в **`run-k8s.mjs`** — константу **`KUBERNETES_VERSION`** і **`DATREE_CRD_SCHEMA_LOCATION`** (узгоджено з базою datree у цьому правилі).
 
 - Обхід з пропуском `node_modules`, `.git`, `dist`, `coverage`, `.turbo`, `.next`.
-- **`file:`** у `$schema` — URL до apiVersion/kind не звіряється; **`https:`** — kustomization за іменем файлу → Schema Store; `v1` → yannh; група з `YANNH_GROUPS` → yannh; інакше → datree (GitHub Pages).
+- **`file:`** у `$schema` — URL до apiVersion/kind не звіряється; **`https:`** — kustomization за іменем файлу → Schema Store; далі перевіряється **`EXPLICIT_K8S_SCHEMAS`** (`Map`: `apiVersion` + `kind` + `type`, для записів без `type` у маніфесті — третій компонент **`*`**); потім `v1` → yannh; група з `YANNH_GROUPS` → yannh; інакше → datree (GitHub Pages), крім рядків явної таблиці (наприклад **InfisicalSecret** — raw на `main`).
 
 ## Коли застосовувати (агентам)
 
@@ -139,13 +139,25 @@ jobs:
 2. **`apiVersion: v1`** → yannh, PIN набору схем **`v1.33.9-standalone-strict`**, ref репозиторію для raw URL — **`master`** (каталог версії не є коренем репо на GitHub):
    `https://raw.githubusercontent.com/yannh/kubernetes-json-schema/master/<PIN>/<kind>-v1.json`
    `<kind>`: літери в нижньому регістрі без роздільників між CamelCase (наприклад `Service` → `service`).
+
+   **`kind: Secret`** і **`type: kubernetes.io/basic-auth`** — той самий шаблон, **`secret-v1.json`**:
+
+   ```yaml
+   # yaml-language-server: $schema=https://raw.githubusercontent.com/yannh/kubernetes-json-schema/master/v1.33.9-standalone-strict/secret-v1.json
+   ```
 3. **`apiVersion: group/version`** і **group** у **`YANNH_GROUPS`** у скрипті → yannh:
    `https://raw.githubusercontent.com/yannh/kubernetes-json-schema/master/<PIN>/<kind>-<group-з-крапками-як-дефіси>-<version>.json`
    Приклади: `apps/v1` + `Deployment` → `deployment-apps-v1.json`; `networking.k8s.io/v1` + `Ingress` → `ingress-networking-k8s-io-v1.json`.
-4. **Інакше** (CRD тощо) → [datreeio/CRDs-catalog](https://github.com/datreeio/CRDs-catalog) через **GitHub Pages** (канон для `$schema` у редакторі):
+4. **Інакше** (CRD тощо) → [datreeio/CRDs-catalog](https://github.com/datreeio/CRDs-catalog). Типово для `$schema` у редакторі — **GitHub Pages**:
    `https://datreeio.github.io/CRDs-catalog/<group>/<kind>_<version>.json`
    (`<kind>` — лише літери та цифри в нижньому регістрі, без роздільників між CamelCase, як для yannh.)
 
+   **Виняток — `InfisicalSecret`:** `apiVersion: secrets.infisical.com/v1alpha1`, `kind: InfisicalSecret` — канонічний modeline через **raw** на гілці **`main`** (не GitHub Pages):
+
+   ```yaml
+   # yaml-language-server: $schema=https://raw.githubusercontent.com/datreeio/CRDs-catalog/main/secrets.infisical.com/infisicalsecret_v1alpha1.json
+   ```
+
    **Приклад (Gateway API):** `apiVersion: gateway.networking.k8s.io/v1beta1`, `kind: HTTPRoute`:
 
    ```yaml

package/mdc/text.mdc

@@ -1,7 +1,7 @@
 ---
 description: Обробка та перевірка текстових файлів (cspell, markdownlint-cli2, v8r, CI)
 alwaysApply: true
-version: '1.23'
+version: '1.24'
 ---
 
 **cspell**, **markdownlint-cli2**, **[v8r](https://chris48s.github.io/v8r/)** ([Schema Store](https://www.schemastore.org/)), розширення **DavidAnson.vscode-markdownlint**, workflow **`lint-text`**.
@@ -107,13 +107,17 @@ jobs:
     permissions:
       contents: read
     steps:
+      - uses: actions/checkout@v6
+        with:
+          persist-credentials: false
+
       - uses: ./.github/actions/setup-bun-deps
 
       - name: Lint text
         run: bun run lint-text
 ```
 
-Composite **`.github/actions/setup-bun-deps/action.yml`** — checkout, Node 24, Bun, кеш і `bun install --frozen-lockfile` (див. **ga.mdc**).
+Перед **`./.github/actions/setup-bun-deps`** — **`actions/checkout@v6`** (див. **ga.mdc**). Composite: Node 24, Bun, кеш, `bun install --frozen-lockfile`.
 
 Не дублюй окремий workflow з тими самими кроками cspell/markdownlint.
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nitra/cursor",
-  "version": "1.8.2",
+  "version": "1.8.5",
   "description": "CLI для завантаження cursor-правил (префікс n-) у локальний репозиторій",
   "keywords": [
     "cli",

package/scripts/check-ga.mjs

@@ -3,7 +3,8 @@
  *
  * Workflows лише з розширенням `.yml`, наявність clean/lint workflow, конфіг zizmor з ref-pin,
  * відсутність MegaLinter, коректний скрипт `lint-ga` у `package.json`, виклик у `lint-ga.yml`,
- * наявність composite `.github/actions/setup-bun-deps/action.yml` (його записує `npx @nitra/cursor`).
+ * наявність composite `.github/actions/setup-bun-deps/action.yml` (його записує `npx \@nitra/cursor`),
+ * перед `uses: ./…/setup-bun-deps` у workflow — `actions/checkout` (runner інакше не бачить локальний action).
  */
 import { existsSync } from 'node:fs'
 import { readdir, readFile } from 'node:fs/promises'
@@ -17,6 +18,36 @@ const MEGALINTER_USE_PATTERNS = [/oxsecurity\/megalinter-action/i, /megalinter\/
 /** Типові конфіги MegaLinter у корені репо */
 const MEGALINTER_CONFIG_NAMES = ['.mega-linter.yml', '.megalinter.yaml', '.mega-linter.yaml']
 
+/**
+ * Якщо workflow викликає локальний setup-bun-deps, раніше у файлі має бути `actions/checkout@v…` (ga.mdc).
+ * @param {string} relPath шлях для повідомлень
+ * @param {string} content вміст YAML
+ * @param {(msg: string) => void} failFn реєструє порушення (exit 1)
+ * @param {(msg: string) => void} passFn реєструє успішну перевірку
+ * @returns {void}
+ */
+function verifyCheckoutBeforeLocalSetupBunDeps(relPath, content, failFn, passFn) {
+  const patterns = ['./.github/actions/setup-bun-deps', './npm/github-actions/setup-bun-deps']
+  let idxSetup = -1
+  for (const p of patterns) {
+    const i = content.indexOf(p)
+    if (i !== -1 && (idxSetup === -1 || i < idxSetup)) {
+      idxSetup = i
+    }
+  }
+  if (idxSetup === -1) {
+    return
+  }
+  const idxCheckout = content.indexOf('actions/checkout@v')
+  if (idxCheckout === -1 || idxCheckout > idxSetup) {
+    failFn(
+      `${relPath}: перед локальним setup-bun-deps потрібен крок actions/checkout@v6 — інакше runner не знайде action.yml (ga.mdc)`
+    )
+    return
+  }
+  passFn(`${relPath}: перед setup-bun-deps є checkout`)
+}
+
 /**
  * Перевіряє відповідність проєкту правилам ga.mdc
  * @returns {Promise<number>} 0 — все OK, 1 — є проблеми
@@ -159,6 +190,15 @@ export async function check() {
     } else {
       fail('lint-ga.yml: додай astral-sh/setup-uv для uvx zizmor (ga.mdc)')
     }
+    verifyCheckoutBeforeLocalSetupBunDeps(`${wfDir}/lint-ga.yml`, lgContent, fail, pass)
+  }
+
+  for (const wfName of ['lint-js.yml', 'lint-text.yml']) {
+    const p = join(wfDir, wfName)
+    if (existsSync(p)) {
+      const body = await readFile(p, 'utf8')
+      verifyCheckoutBeforeLocalSetupBunDeps(`${wfDir}/${wfName}`, body, fail, pass)
+    }
   }
 
   return exitCode

package/scripts/check-k8s.mjs

@@ -3,7 +3,11 @@
  *
  * Перший рядок `# yaml-language-server: $schema=…`, без дублікатів, розширення `.yaml`
  * (окрім `kustomization.yml`); URL схеми за першим документом — kustomization / yannh / datree
- * (datree: `https://datreeio.github.io/CRDs-catalog/<group>/<kind>_<version>.json`).
+ * (datree за замовчуванням: GitHub Pages `https://datreeio.github.io/CRDs-catalog/…`).
+ *
+ * Явні винятки до загальної логіки yannh/datree — таблиця **`EXPLICIT_K8S_SCHEMAS`** (`Map`): ключ
+ * **`apiVersion`, `kind`, `type`** (для CRD без поля `type` у маніфесті — зірочка **`*`** як третій
+ * компонент). Спочатку шукається збіг за фактичним `type`, потім за **`*`**.
  * Dockerfile — правило docker.mdc, скрипт check-docker.mjs.
  */
 import { readFile } from 'node:fs/promises'
@@ -25,6 +29,75 @@ const YANNH_BASE = `https://raw.githubusercontent.com/yannh/kubernetes-json-sche
 /** Публікація [CRDs-catalog](https://github.com/datreeio/CRDs-catalog) на GitHub Pages (те саме дерево, що й raw на `main`). */
 const DATREE_CRD_BASE = 'https://datreeio.github.io/CRDs-catalog/'
 
+/** Raw URL для окремих CRD, де в редакторі канон — `raw.githubusercontent.com` (див. k8s.mdc). */
+const DATREE_CRD_RAW_REF = 'main'
+
+const DATREE_CRD_RAW_BASE = `https://raw.githubusercontent.com/datreeio/CRDs-catalog/${DATREE_CRD_RAW_REF}/`
+
+/** У ключі `Map` означає «будь-який / відсутній `type`» (наприклад CRD без верхньорівневого `type:`). */
+const K8S_EXPLICIT_SCHEMA_TYPE_ANY = '*'
+
+/**
+ * Ключ запису в **`EXPLICIT_K8S_SCHEMAS`**: `apiVersion`, **`kind` як у YAML** (регістр як у маніфесті),
+ * `typeKey` — значення поля **`type:`** або **`K8S_EXPLICIT_SCHEMA_TYPE_ANY`**.
+ * @param {string} apiVersion повне значення `apiVersion` з маніфесту
+ * @param {string} kind значення `kind` з маніфесту (як у YAML)
+ * @param {string} typeKey значення верхньорівневого `type:` або `K8S_EXPLICIT_SCHEMA_TYPE_ANY`
+ * @returns {string} внутрішній ключ для `Map`
+ */
+function k8sExplicitSchemaMapKey(apiVersion, kind, typeKey) {
+  return `${apiVersion}\0${kind}\0${typeKey}`
+}
+
+/**
+ * Таблиця явних `$schema` для поєднань **`apiVersion` + `kind` + `type`** (див. k8s.mdc).
+ * Щоб додати рядок: визнач **`apiVersion`**, **`kind`**, при потребі **`type`**, вкажи **URL** і **reason**.
+ *
+ * @type {Map<string, { schema: string, reason: string }>}
+ */
+const EXPLICIT_K8S_SCHEMAS = new Map([
+  [
+    k8sExplicitSchemaMapKey('secrets.infisical.com/v1alpha1', 'InfisicalSecret', K8S_EXPLICIT_SCHEMA_TYPE_ANY),
+    {
+      schema: `${DATREE_CRD_RAW_BASE}secrets.infisical.com/infisicalsecret_v1alpha1.json`,
+      reason: 'InfisicalSecret v1alpha1 (явна таблиця схем, datree CRDs-catalog raw)'
+    }
+  ],
+  [
+    k8sExplicitSchemaMapKey('v1', 'Secret', 'kubernetes.io/basic-auth'),
+    {
+      schema: `${YANNH_BASE}secret-v1.json`,
+      reason: 'Secret type kubernetes.io/basic-auth (явна таблиця схем, yannh secret-v1.json)'
+    }
+  ]
+])
+
+/**
+ * Витягує верхньорівневе поле **`type:`** з документа (без повного YAML-парсера).
+ * @param {string} doc фрагмент YAML одного документа
+ * @returns {string | undefined} значення без лапок або undefined, якщо поля немає
+ */
+function extractTopLevelManifestType(doc) {
+  const m = doc.match(/^\s*type:\s*(\S+)\s*$/mu)
+  const raw = m?.[1]?.replaceAll(/^["']|["']$/gu, '')
+  return raw === undefined || raw === '' ? undefined : raw
+}
+
+/**
+ * Шукає схему в **`EXPLICIT_K8S_SCHEMAS`**: спочатку за точним **`type`**, потім за **`*`**.
+ * @param {string} apiVersion повне значення `apiVersion` з маніфесту
+ * @param {string} kind значення `kind` з маніфесту (як у YAML)
+ * @param {string | undefined} manifestType верхньорівневе поле `type` або undefined, якщо відсутнє
+ * @returns {{ schema: string, reason: string } | null} запис таблиці або null, якщо збігу немає
+ */
+function lookupExplicitK8sSchema(apiVersion, kind, manifestType) {
+  if (manifestType !== undefined) {
+    const exact = EXPLICIT_K8S_SCHEMAS.get(k8sExplicitSchemaMapKey(apiVersion, kind, manifestType))
+    if (exact) return exact
+  }
+  return EXPLICIT_K8S_SCHEMAS.get(k8sExplicitSchemaMapKey(apiVersion, kind, K8S_EXPLICIT_SCHEMA_TYPE_ANY)) ?? null
+}
+
 /**
  * Групи API Kubernetes, для яких у перевірці очікується схема yannh (не datree CRD catalog).
  * `gateway.networking.k8s.io` та інші розширення поза цим списком — datree.
@@ -158,6 +231,12 @@ export function expectedSchemaUrl(filePath, doc) {
     }
   }
 
+  const manifestType = extractTopLevelManifestType(doc)
+  const explicit = lookupExplicitK8sSchema(apiVersion, kind, manifestType)
+  if (explicit) {
+    return { expected: explicit.schema, reason: explicit.reason }
+  }
+
   if (apiVersion === 'v1') {
     const k = kindToSchemaFilePart(kind)
     return { expected: `${YANNH_BASE}${k}-v1.json`, reason: 'core v1 (yannh)' }
@@ -182,6 +261,7 @@ export function expectedSchemaUrl(filePath, doc) {
   }
 
   const datreeKind = kindToSchemaFilePart(kind)
+
   const url = `${DATREE_CRD_BASE}${group}/${datreeKind}_${version}.json`
   return { expected: url, reason: 'CRD / група поза yannh (datree CRDs-catalog)' }
 }

package/scripts/sync-setup-bun-deps-action.mjs

@@ -3,7 +3,7 @@
  * у цільовий репозиторій (`.github/actions/setup-bun-deps/action.yml`).
  *
  * Використовується CLI `npx \@nitra/cursor`, щоб workflows з правил `ga` / `js-lint` / `text`
- * могли одразу викликати `uses: ./.github/actions/setup-bun-deps` без ручного копіювання.
+ * могли одразу викликати `uses: ./.github/actions/setup-bun-deps` після кроку `actions/checkout@v6` (без checkout runner не знайде action.yml).
  *
  * Джерело: каталог `github-actions/setup-bun-deps/` у корені tarball пакету (поруч із `mdc/`, `bin/`).
  */