@nitra/cursor 1.8.203 → 1.8.206

package/scripts/lint-rego.mjs

@@ -1,14 +1,22 @@
 /**
- * Запуск `regal lint` по Rego-полісі репозиторію (`conftest.mdc`).
+ * Лінт Rego-полісі (`conftest.mdc` + `rego.mdc`): preflight на `opa` і `regal`,
+ * далі послідовно `opa check --strict` і `regal lint`.
  *
- * Regal (https://docs.styra.com/regal) — статичний лінтер Rego, який ловить v0-синтаксис,
- * неявні set-rules та інші відхилення від `rego.v1`. Без preflight-у на наявність бінарника
- * лінт мовчки злетить з невиразним повідомленням від shell — тут друкуємо явний install-hint
- * (як це робить `lint-ga.mjs` для shellcheck/uv).
+ * Чому два інструменти:
+ * - `opa check --strict` — компіляція з типами і строгим режимом (мертвий код, неоднозначні
+ *   правила, незадекларовані змінні). Ловить помилки, які `regal` навмисно лишає поза скоупом
+ *   (він — про стиль і ідіоматичність, а не про компіляцію).
+ * - `regal lint` (https://docs.styra.com/regal) — статичний лінтер Rego: ловить v0-синтаксис,
+ *   неявні set-rules та інші відхилення від `rego.v1`, плюс bugs/idiomatic/performance-правила.
+ *
+ * Без preflight-у на бінарники лінт мовчки злетить з невиразним повідомленням від shell —
+ * друкуємо явні install-hints (як це робить `lint-ga.mjs` для shellcheck/uv). `opa` додатково
+ * потрібен VS Code-розширенню `tsandall.opa` (LSP, format-on-save через `opa fmt`) — деталі в
+ * `mdc/rego.mdc`.
  *
  * Цілі лінту: `npm/policy/` (місце, де поки що живуть Rego-полісі пакета `@nitra/cursor`).
  * Якщо в репозиторії з’являться інші *.rego поза цим деревом, додай шлях у `LINT_TARGETS` —
- * `regal lint` приймає кілька шляхів і сам рекурсивно обходить директорії.
+ * обидва інструменти приймають кілька шляхів і самі рекурсивно обходять директорії.
  */
 import { spawnSync } from 'node:child_process'
 import { existsSync } from 'node:fs'
@@ -19,6 +27,24 @@ import { resolveCmd } from './utils/resolve-cmd.mjs'
 /** Шляхи з Rego-полісі (відносно cwd). Існують не всі на ранніх стадіях — фільтруємо нижче. */
 const LINT_TARGETS = ['npm/policy']
 
+/**
+ * Друкує підказку зі встановлення `opa` (потрібен для `opa check --strict` і VS Code LSP).
+ * @returns {void}
+ */
+function printOpaInstallHints() {
+  process.stderr.write(
+    [
+      '❌ opa не знайдено в PATH.',
+      '   Без нього не запускається `opa check --strict` (типи + мертвий код у *.rego),',
+      '   і не працює VS Code-розширення `tsandall.opa` (LSP, format-on-save через opa fmt).',
+      '   Встанови:',
+      '     macOS:     brew install opa',
+      '     Universal: https://www.openpolicyagent.org/docs/latest/#1-download-opa',
+      ''
+    ].join('\n')
+  )
+}
+
 /**
  * Друкує підказку зі встановлення `regal`.
  * @returns {void}
@@ -29,7 +55,7 @@ function printRegalInstallHints() {
       '❌ regal не знайдено в PATH.',
       '   Без нього не перевіряється rego.v1 синтаксис у *.rego (правило `conftest`).',
       '   Встанови:',
-      '     macOS:    brew install regal',
+      '     macOS:     brew install regal',
       '     Universal: https://docs.styra.com/regal#installation',
       ''
     ].join('\n')
@@ -37,34 +63,54 @@ function printRegalInstallHints() {
 }
 
 /**
- * Запускає `regal lint` по існуючих цілях. Якщо жодної цілі немає — пропускає лінт із кодом 0.
+ * Запускає крок з відображенням команди користувачу. Stdout/stderr передаємо як є
+ * (`stdio: 'inherit'`), щоб виглядало як прямий виклик у shell.
+ * @param {string} bin абсолютний шлях до бінарника
+ * @param {string[]} args аргументи
+ * @param {string} cwd робочий каталог
+ * @returns {number} код виходу (0 — OK)
+ */
+function runStep(bin, args, cwd) {
+  console.log(`▶ ${bin} ${args.join(' ')}`)
+  const result = spawnSync(bin, args, { cwd, stdio: 'inherit', env: process.env })
+  if (result.error) {
+    process.stderr.write(`❌ Не вдалося запустити ${bin}: ${result.error.message}\n`)
+    return 1
+  }
+  return result.status ?? 1
+}
+
+/**
+ * Запускає `opa check --strict` і `regal lint` по існуючих цілях. Якщо жодної цілі немає —
+ * пропускає лінт із кодом 0. Якщо хоча б один preflight не пройшов — exit 1 ще до запусків.
  * @param {string} [cwd] робочий каталог (за замовчуванням `process.cwd()`)
- * @returns {number} 0 — OK або skip; інакше код виходу regal
+ * @returns {number} 0 — OK або skip; інакше код виходу першого кроку, що впав
  */
 export function runLintRego(cwd = process.cwd()) {
   const root = resolve(cwd)
+  const opa = resolveCmd('opa')
   const regal = resolveCmd('regal')
+
+  let preflightOk = true
+  if (!opa) {
+    printOpaInstallHints()
+    preflightOk = false
+  }
   if (!regal) {
     printRegalInstallHints()
-    return 1
+    preflightOk = false
   }
+  if (!preflightOk) return 1
 
   const targets = LINT_TARGETS.filter(rel => existsSync(resolve(root, rel)))
   if (targets.length === 0) {
     return 0
   }
 
-  console.log(`▶ regal lint ${targets.join(' ')}`)
-  const result = spawnSync(regal, ['lint', ...targets], {
-    cwd: root,
-    stdio: 'inherit',
-    env: process.env
-  })
-  if (result.error) {
-    process.stderr.write(`❌ Не вдалося запустити regal: ${result.error.message}\n`)
-    return 1
-  }
-  return result.status ?? 1
+  const opaCode = runStep(opa, ['check', '--strict', ...targets], root)
+  if (opaCode !== 0) return opaCode
+
+  return runStep(regal, ['lint', ...targets], root)
 }
 
 process.exitCode = runLintRego()

package/scripts/run-shellcheck-text.mjs

@@ -85,10 +85,7 @@ export function listShellScriptPaths(cwd) {
 
   const fromGlob = globSync('**/*.sh', {
     cwd,
-    exclude: p =>
-      p.includes('node_modules') ||
-      p.startsWith(`node_modules/`) ||
-      p.split('/').includes('node_modules')
+    exclude: p => p.includes('node_modules') || p.startsWith(`node_modules/`) || p.split('/').includes('node_modules')
   })
   return [...new Set(fromGlob.map(p => p.replaceAll('\\', '/')))].sort()
 }

package/scripts/utils/depcheck-workflow.mjs

@@ -19,11 +19,7 @@
 import { readdir, readFile } from 'node:fs/promises'
 import { join, relative } from 'node:path'
 
-import {
-  flattenWorkflowSteps,
-  getStepRun,
-  parseWorkflowYaml
-} from './gha-workflow.mjs'
+import { flattenWorkflowSteps, getStepRun, parseWorkflowYaml } from './gha-workflow.mjs'
 
 const WORKFLOWS_DIR_REL = '.github/workflows'
 const REQUIRED_IGNORES = ['graphql', 'bun']
@@ -122,7 +118,7 @@ export function evaluateDepcheckStepForPackage(root, pkgRoot) {
   // Усі знайдені кроки існують, але жоден не має повного списку обов'язкових ignores —
   // повертаємо missing з першого, щоб дати конкретний фідбек.
   const firstMissing = REQUIRED_IGNORES.filter(
-    req => !((parseDepcheckIgnoresArg(stepsForThisPackage[0].args) ?? []).includes(req))
+    req => !(parseDepcheckIgnoresArg(stepsForThisPackage[0].args) ?? []).includes(req)
   )
   return { kind: 'missing-ignores', missing: firstMissing }
 }