@nitra/cursor 1.8.69 → 1.8.73

package/mdc/abie.mdc

@@ -1,7 +1,7 @@
 ---
 description: Правила для проєктів AbInBev Efes
 alwaysApply: true
-version: '1.2'
+version: '1.4'
 ---
 
 Правило **abie** для споживачів **@nitra/cursor**: **k8s** (**Deployment** + **HealthCheckPolicy**), overlay **ua** / **ru** (**nodeSelector**, видалення **HealthCheckPolicy** у **ru**) і гілки в **clean-merged-branch**. **`npx @nitra/cursor check abie`** виконується лише якщо в **`.n-cursor.json`** у **`rules`** є **`abie`** — інакше вихід **0** без зауважень.
@@ -30,6 +30,49 @@ spec:
     name: СЕРВІС
 ```
 
+## k8s: overlay **HTTPRoute** `nginx-run` (**ua** / **ru**)
+
+Якщо під **`k8s`** є **Deployment**, у **кожному** **`ua/kustomization.yaml`** та **`ru/kustomization.yaml`** має бути inline **JSON6902** у **`patches[].patch`** на **`target.kind: HTTPRoute`**, **`name: nginx-run`**: **replace** **`/spec/hostnames`** (допустимі домени — як у прикладах нижче) і **replace** **`/spec/parentRefs/0/namespace`** (**`ua`** або **`ru`**). Для **ru** додатково потрібна анотація **`gwin.yandex.cloud/rules.http.upgradeTypes: websocket`** (зазвичай **op: add**, **`/metadata/annotations`**). Критерії — **`validateAbieNginxRunHttpRoutePatches`** / **`getCombinedNginxRunPatchTextFromKustomization`** у **`npm/scripts/check-abie.mjs`**.
+
+```yaml title="…/ua/kustomization.yaml (фрагмент)"
+  - target:
+      kind: HTTPRoute
+      name: nginx-run
+    patch: |-
+      - op: replace
+        path: /spec/hostnames
+        value:
+          - "abie.app" # також допускається vybeerai.com.ua, *.vybeerai.com.ua, *.abie.app
+      - op: replace
+        path: /spec/parentRefs/0/namespace
+        value: ua
+```
+
+```yaml title="…/ru/kustomization.yaml (фрагмент)"
+  - target:
+      kind: HTTPRoute
+      name: nginx-run
+    patch: |-
+      - op: replace
+        path: /spec/hostnames
+        value:
+          - "napitkivmeste.tech" # також допускається выбирайонлайн.рф, *.napitkivmeste.tech, *.выбирайонлайн.рф
+      - op: replace
+        path: /spec/parentRefs/0/namespace
+        value: ru
+```
+
+```yaml title="…/ru/kustomization.yaml (фрагмент)"
+  - target:
+      kind: HTTPRoute
+      name: nginx-run
+    patch: |-
+      - op: add
+        path: /metadata/annotations
+        value:
+          gwin.yandex.cloud/rules.http.upgradeTypes: "websocket"
+```
+
 ## k8s: overlay **`ru`** і HealthCheckPolicy
 
 Якщо в дереві **k8s** є **HealthCheckPolicy**, **check abie** вимагає **`ru/kustomization.yaml`** з patch **`$patch: delete`** для політики (узгоджено з **k8s.mdc** / **check-k8s**, **`ruKustomizationHasHealthCheckDeletePatch`** у **`npm/scripts/check-k8s.mjs`**). Підстав реальне ім’я замість **`СЕРВІС`**:
@@ -74,6 +117,18 @@ patches:
           yandex.cloud/preemptible: "false"
 ```
 
+### Базовий Deployment (`…/base/`)
+
+Якщо **Deployment** у YAML під **`k8s`** лежить у шляху з сегментом **`base`** (наприклад **`…/k8s/base/deploy.yaml`**), у **`spec.template.spec.nodeSelector`** має бути **`preem`** зі значенням **істинно** (**`true`** або рядок **`'true'`**) — overlay **ua** / **ru** підміняє селектор через kustomize. Деталі — **`deploymentDocumentHasAbieBasePreemNodeSelector`** / **`isAbieK8sBaseYamlPath`** у **`npm/scripts/check-abie.mjs`**.
+
+```yaml title="…/base/deploy.yaml (фрагмент)"
+spec:
+  template:
+    spec:
+      nodeSelector:
+        preem: 'true' # буде замінено через kustomize
+```
+
 ## Git branches
 
 У **`.github/workflows/clean-merged-branch.yml`** у кроці **`phpdocker-io/github-actions-delete-abandoned-branches`** значення **`with.ignore_branches`** має містити **dev**, **ua** та **ru** (разом з іншими гілками, якщо потрібно), наприклад:

package/mdc/k8s.mdc

@@ -206,6 +206,30 @@ patches:
         value: dev
 ```
 
+4.  Якщо в kustomization.yaml є remove разом з add  на однаковий path:
+
+```yaml title="overlay/kustomization.yaml (фрагмент)"
+      - op: remove
+        path: /spec/template/spec/nodeSelector
+      - op: add
+        path: /spec/template/spec/nodeSelector
+        value:
+          preem: "false"
+```
+
+заміняй на replace:
+
+```yaml title="overlay/kustomization.yaml (фрагмент)"
+  - target:
+      kind: Deployment
+      name: x
+    patch: |-
+      - op: replace
+        path: /spec/template/spec/nodeSelector
+        value:
+          preem: "false"
+```
+
 ## Перевірка
 
 **`npx @nitra/cursor check k8s`** — програмні критерії в **JSDoc на початку** **`npm/scripts/check-k8s.mjs`**. Якщо під **`k8s`** немає **`*.yaml`** — крок пропущено. Канон **`$schema`** для редактора — розділ **«Визначення схеми YAML`** нижче.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nitra/cursor",
-  "version": "1.8.69",
+  "version": "1.8.73",
   "description": "CLI для завантаження cursor-правил (префікс n-) у локальний репозиторій",
   "keywords": [
     "cli",

package/scripts/check-abie.mjs

@@ -14,9 +14,16 @@
  * Якщо в дереві **k8s** є **HealthCheckPolicy**, перевіряється **`ru/kustomization.yaml`** з patch **`$patch: delete`**
  * (логіка вмісту — **`ruKustomizationHasHealthCheckDeletePatch`** у **check-k8s.mjs**, узгоджено з **k8s.mdc**).
  *
- * **nodeSelector:** якщо є **Deployment** під **k8s**, у кожному **`ua/kustomization.yaml`** та **`ru/kustomization.yaml`**
+ * **nodeSelector (base):** якщо **Deployment** лежить у шляху з сегментом **`base`** (наприклад **`…/k8s/base/deploy.yaml`**),
+ * у **`spec.template.spec.nodeSelector`** має бути **`preem`** з булевим значенням **true** або рядком **`'true'`** — overlay **ua** та **ru** далі підміняють селектор.
+ *
+ * **nodeSelector (overlay):** якщо є **Deployment** під **k8s**, у кожному **`ua/kustomization.yaml`** та **`ru/kustomization.yaml`**
  * має бути inline **JSON6902** patch на **`kind: Deployment`**: для **ua** — **`op: add`**, **`path: /spec/template/spec/nodeSelector`**,
  * **`preem: false`**; для **ru** — **`op: replace`**, той самий **path**, **`yandex.cloud/preemptible: false`** (див. abie.mdc).
+ *
+ * **HTTPRoute nginx-run:** за тієї ж умови (**Deployment** під **k8s**) у **кожному** **`ua`/`ru` kustomization** має бути
+ * inline **JSON6902** на **`kind: HTTPRoute`**, **`name: nginx-run`**: **replace** **`/spec/hostnames`** (домени з abie.mdc),
+ * **replace** **`/spec/parentRefs/0/namespace`** (**ua** / **ru**); для **ru** також **`gwin.yandex.cloud/rules.http.upgradeTypes: websocket`**.
  */
 import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
@@ -25,7 +32,7 @@ import { dirname, join, relative } from 'node:path'
 import { parseAllDocuments } from 'yaml'
 
 import { pathHasK8sSegment, ruKustomizationHasHealthCheckDeletePatch } from './check-k8s.mjs'
-import { pass } from './utils/pass.mjs'
+import { createCheckReporter } from './utils/check-reporter.mjs'
 import { flattenWorkflowSteps, getStepUses, parseWorkflowYaml } from './utils/gha-workflow.mjs'
 import { walkDir } from './utils/walkDir.mjs'
 
@@ -59,6 +66,60 @@ export function isUaKustomizationPath(rel) {
   return /(^|\/)ua\/kustomization\.yaml$/u.test(norm)
 }
 
+/**
+ * Чи відносний шлях до YAML під **k8s** вказує на файл у каталозі **`base`** (сегмент **`base`** у шляху), abie.mdc.
+ * @param {string} rel шлях від кореня репозиторію
+ * @returns {boolean} true, якщо в шляху є **`/base/`**
+ */
+export function isAbieK8sBaseYamlPath(rel) {
+  const norm = rel.replaceAll('\\', '/')
+  return /(^|\/)base\//u.test(norm)
+}
+
+/**
+ * Чи значення **`preem`** у base **Deployment** вважається «істинним» за abie.mdc (**true** або рядок **`true`** без урахування регістру).
+ * @param {unknown} v значення з YAML
+ * @returns {boolean} **true**, якщо значення вважається істинним за abie.mdc
+ */
+function isAbiePreemTruthy(v) {
+  if (v === true) {
+    return true
+  }
+  if (typeof v === 'string' && v.trim().toLowerCase() === 'true') {
+    return true
+  }
+  return false
+}
+
+/**
+ * Чи документ **Deployment** у **`…/base/…`** містить **`spec.template.spec.nodeSelector.preem`** зі значенням **true** (abie.mdc).
+ * @param {unknown} obj корінь YAML-документа (**Deployment**)
+ * @returns {boolean} true, якщо критерії виконано
+ */
+export function deploymentDocumentHasAbieBasePreemNodeSelector(obj) {
+  if (!isDeploymentDoc(obj)) {
+    return false
+  }
+  const rec = /** @type {Record<string, unknown>} */ (obj)
+  const spec = rec.spec
+  if (spec === null || typeof spec !== 'object' || Array.isArray(spec)) {
+    return false
+  }
+  const template = /** @type {Record<string, unknown>} */ (spec).template
+  if (template === null || typeof template !== 'object' || Array.isArray(template)) {
+    return false
+  }
+  const podSpec = /** @type {Record<string, unknown>} */ (template).spec
+  if (podSpec === null || typeof podSpec !== 'object' || Array.isArray(podSpec)) {
+    return false
+  }
+  const nodeSelector = /** @type {Record<string, unknown>} */ (podSpec).nodeSelector
+  if (nodeSelector === null || typeof nodeSelector !== 'object' || Array.isArray(nodeSelector)) {
+    return false
+  }
+  return isAbiePreemTruthy(nodeSelector.preem)
+}
+
 /**
  * Чи увімкнено правило **abie** у конфігу репозиторію.
  * @param {string} root корінь репозиторію (cwd)
@@ -213,6 +274,65 @@ async function collectDeploymentDirs(root, yamlAbs, fail) {
   return dirs
 }
 
+/**
+ * Для кожного **Deployment** у YAML під **`k8s`** з шляхом **`…/base/…`** вимагає **`spec.template.spec.nodeSelector.preem: true`** (abie.mdc).
+ * @param {string} root корінь репозиторію
+ * @param {string[]} yamlFilesAbs yaml під k8s
+ * @param {(msg: string) => void} fail callback
+ * @param {(msg: string) => void} passFn успішне повідомлення
+ * @returns {Promise<void>}
+ */
+async function ensureAbieBaseDeploymentPreemNodeSelector(root, yamlFilesAbs, fail, passFn) {
+  const baseFiles = yamlFilesAbs.filter(abs => {
+    const rel = relative(root, abs).replaceAll('\\', '/') || abs
+    return isAbieK8sBaseYamlPath(rel)
+  })
+  let anyBaseDeployment = false
+  for (const abs of baseFiles) {
+    const rel = relative(root, abs).replaceAll('\\', '/') || abs
+    let raw
+    try {
+      raw = await readFile(abs, 'utf8')
+    } catch (error) {
+      const msg = error instanceof Error ? error.message : String(error)
+      fail(`${rel}: не вдалося прочитати (${msg})`)
+      return
+    }
+    const body = stripBom(raw)
+    const lines = body.split(/\r?\n/u)
+    const first = lines[0] ?? ''
+    const rest = MODELINE_RE.test(first.trim()) ? lines.slice(1).join('\n') : body
+    /** @type {import('yaml').Document[]} */
+    let docs
+    try {
+      docs = parseAllDocuments(rest)
+    } catch (error) {
+      const msg = error instanceof Error ? error.message : String(error)
+      fail(`${rel}: YAML (${msg})`)
+      return
+    }
+    for (const doc of docs) {
+      if (doc.errors.length === 0) {
+        const obj = doc.toJSON()
+        if (isDeploymentDoc(obj)) {
+          anyBaseDeployment = true
+          if (!deploymentDocumentHasAbieBasePreemNodeSelector(obj)) {
+            fail(
+              `${rel}: Deployment у base: потрібен spec.template.spec.nodeSelector.preem: true (або 'true') — abie.mdc`
+            )
+            return
+          }
+        }
+      }
+    }
+  }
+  if (anyBaseDeployment) {
+    passFn('Deployment у …/base/…: nodeSelector.preem відповідає abie.mdc')
+  } else {
+    passFn('Немає Deployment у шляхах …/base/… — перевірку preem у base пропущено')
+  }
+}
+
 /**
  * Прибирає BOM на початку файлу.
  * @param {string} s вміст
@@ -352,6 +472,125 @@ export function kustomizationHasAbieDeploymentNodeSelectorPatch(raw, mode) {
   return false
 }
 
+/** Домени **hostnames** для overlay **ua** (підрядки у JSON6902-тексті patch), abie.mdc. */
+const ABIE_UA_HTTPROUTE_HOST_MARKERS = ['abie.app', 'vybeerai.com.ua', '*.abie.app', '*.vybeerai.com.ua']
+
+/** Домени **hostnames** для overlay **ru** (підрядки), abie.mdc. */
+const ABIE_RU_HTTPROUTE_HOST_MARKERS = [
+  'napitkivmeste.tech',
+  'выбирайонлайн.рф',
+  '*.napitkivmeste.tech',
+  '*.выбирайонлайн.рф'
+]
+
+/**
+ * Збирає тексти inline **patch** для **HTTPRoute/nginx-run** з одного розібраного документа **Kustomization**.
+ * @param {import('yaml').Document} doc документ після **parseAllDocuments**
+ * @returns {string[]} непорожні рядки **patch**
+ */
+function collectNginxRunPatchStringsFromKustomizationDoc(doc) {
+  if (doc.errors.length > 0) {
+    return []
+  }
+  const root = doc.toJSON()
+  if (root === null || typeof root !== 'object' || Array.isArray(root)) {
+    return []
+  }
+  const rec = /** @type {Record<string, unknown>} */ (root)
+  if (rec.kind !== 'Kustomization') {
+    return []
+  }
+  const patches = rec.patches
+  if (!Array.isArray(patches)) {
+    return []
+  }
+  /** @type {string[]} */
+  const out = []
+  for (const p of patches) {
+    if (p !== null && typeof p === 'object' && !Array.isArray(p)) {
+      const pr = /** @type {Record<string, unknown>} */ (p)
+      const target = pr.target
+      if (target !== null && typeof target === 'object' && !Array.isArray(target)) {
+        const tg = /** @type {Record<string, unknown>} */ (target)
+        if (tg.kind === 'HTTPRoute' && tg.name === 'nginx-run') {
+          const patchStr = pr.patch
+          if (typeof patchStr === 'string' && patchStr.trim() !== '') {
+            out.push(patchStr)
+          }
+        }
+      }
+    }
+  }
+  return out
+}
+
+/**
+ * Збирає всі inline **JSON6902**-фрагменти для **HTTPRoute/nginx-run** у **kustomization.yaml** (усі документи у файлі).
+ * @param {string} raw повний текст файлу
+ * @returns {string} текст для **`validateAbieNginxRunHttpRoutePatches`** (може бути порожнім)
+ */
+export function getCombinedNginxRunPatchTextFromKustomization(raw) {
+  const body = stripBom(raw)
+  const lines = body.split(/\r?\n/u)
+  const first = lines[0] ?? ''
+  const rest = MODELINE_RE.test(first.trim()) ? lines.slice(1).join('\n') : body
+  /** @type {import('yaml').Document[]} */
+  let docs
+  try {
+    docs = parseAllDocuments(rest)
+  } catch {
+    return ''
+  }
+  /** @type {string[]} */
+  const chunks = []
+  for (const doc of docs) {
+    chunks.push(...collectNginxRunPatchStringsFromKustomizationDoc(doc))
+  }
+  return chunks.join('\n')
+}
+
+/**
+ * Перевіряє сукупний текст patch(ів) **HTTPRoute/nginx-run** на відповідність abie.mdc.
+ * @param {string} combined текст одного або кількох inline **patch**, розділених символом нового рядка
+ * @param {'ua' | 'ru'} mode **ua** або **ru**
+ * @returns {string | null} повідомлення про помилку або **null**
+ */
+export function validateAbieNginxRunHttpRoutePatches(combined, mode) {
+  if (typeof combined !== 'string' || combined.trim() === '') {
+    return `очікується patch target kind HTTPRoute name nginx-run (replace hostnames, parentRefs namespace ${mode}; для ru — також gwin… upgradeTypes websocket) — abie.mdc`
+  }
+  const hasHostnamesReplace = /-\s*op:\s*replace\b[\s\S]{0,200}?path:\s*\/spec\/hostnames\b/m.test(combined)
+  if (!hasHostnamesReplace) {
+    return 'HTTPRoute nginx-run: потрібен блок op replace з path /spec/hostnames (abie.mdc)'
+  }
+  const markers = mode === 'ua' ? ABIE_UA_HTTPROUTE_HOST_MARKERS : ABIE_RU_HTTPROUTE_HOST_MARKERS
+  if (!markers.some(m => combined.includes(m))) {
+    return `HTTPRoute nginx-run: у value для /spec/hostnames має бути один із доменів abie (${markers.join(', ')}) — abie.mdc`
+  }
+  const namespaceOk =
+    mode === 'ua'
+      ? /path:\s*\/spec\/parentRefs\/0\/namespace\b[\s\S]{0,200}?value:\s*['"]?ua['"]?(?:\s|$)/mu.test(combined)
+      : /path:\s*\/spec\/parentRefs\/0\/namespace\b[\s\S]{0,200}?value:\s*['"]?ru['"]?(?:\s|$)/mu.test(combined)
+  if (!namespaceOk) {
+    return `HTTPRoute nginx-run: потрібен replace path /spec/parentRefs/0/namespace з value ${mode} (abie.mdc)`
+  }
+  if (mode === 'ru' && !/gwin\.yandex\.cloud\/rules\.http\.upgradeTypes:\s*['"]?websocket['"]?/m.test(combined)) {
+    return 'HTTPRoute nginx-run (ru): потрібна анотація gwin.yandex.cloud/rules.http.upgradeTypes: websocket (abie.mdc)'
+  }
+  return null
+}
+
+/**
+ * Чи **kustomization** містить валідні для abie записи **patch** для **HTTPRoute/nginx-run** (**ua** або **ru**).
+ * @param {string} raw повний текст **kustomization.yaml**
+ * @param {'ua' | 'ru'} mode overlay
+ * @returns {boolean} true, якщо **`validateAbieNginxRunHttpRoutePatches`** повертає **null**
+ */
+export function kustomizationHasAbieNginxRunHttpRoutePatch(raw, mode) {
+  const combined = getCombinedNginxRunPatchTextFromKustomization(raw)
+  return validateAbieNginxRunHttpRoutePatches(combined, mode) === null
+}
+
 /**
  * Перевіряє **hc.yaml** на відповідність abie.mdc.
  * @param {string} raw повний текст файлу
@@ -536,9 +775,10 @@ async function ensureRuKustomizationHealthCheckDelete(root, yamlFilesAbs, health
  * @param {string} root корінь репозиторію
  * @param {string[]} yamlFilesAbs yaml під k8s
  * @param {(msg: string) => void} fail callback
+ * @param {(msg: string) => void} passFn успішне повідомлення
  * @returns {Promise<void>}
  */
-async function ensureUaRuAbieNodeSelectorPatches(root, yamlFilesAbs, fail) {
+async function ensureUaRuAbieNodeSelectorPatches(root, yamlFilesAbs, fail, passFn) {
   const uaAbsList = yamlFilesAbs.filter(abs => isUaKustomizationPath(relative(root, abs).replaceAll('\\', '/') || abs))
   if (uaAbsList.length === 0) {
     fail(
@@ -562,7 +802,7 @@ async function ensureUaRuAbieNodeSelectorPatches(root, yamlFilesAbs, fail) {
       )
       return
     }
-    pass(`${rel}: nodeSelector patch (ua) відповідає abie.mdc`)
+    passFn(`${rel}: nodeSelector patch (ua) відповідає abie.mdc`)
   }
 
   const ruAbsList = yamlFilesAbs.filter(abs => isRuKustomizationPath(relative(root, abs).replaceAll('\\', '/') || abs))
@@ -588,7 +828,69 @@ async function ensureUaRuAbieNodeSelectorPatches(root, yamlFilesAbs, fail) {
       )
       return
     }
-    pass(`${rel}: nodeSelector patch (ru) відповідає abie.mdc`)
+    passFn(`${rel}: nodeSelector patch (ru) відповідає abie.mdc`)
+  }
+}
+
+/**
+ * Якщо є **Deployment** під **k8s**, вимагає в кожному overlay **ua** та **ru** patch **HTTPRoute/nginx-run** (abie.mdc).
+ * @param {string} root корінь репозиторію
+ * @param {string[]} yamlFilesAbs yaml під k8s
+ * @param {(msg: string) => void} fail callback
+ * @param {(msg: string) => void} passFn успішне повідомлення
+ * @returns {Promise<void>}
+ */
+async function ensureUaRuAbieHttpRoutePatches(root, yamlFilesAbs, fail, passFn) {
+  const uaAbsList = yamlFilesAbs.filter(abs => isUaKustomizationPath(relative(root, abs).replaceAll('\\', '/') || abs))
+  if (uaAbsList.length === 0) {
+    fail(
+      'Є Deployment у k8s — додай ua/kustomization.yaml з patch HTTPRoute nginx-run (hostnames, parentRefs namespace ua) — abie.mdc'
+    )
+    return
+  }
+  for (const abs of uaAbsList) {
+    const rel = relative(root, abs).replaceAll('\\', '/') || abs
+    let raw
+    try {
+      raw = await readFile(abs, 'utf8')
+    } catch (error) {
+      const msg = error instanceof Error ? error.message : String(error)
+      fail(`${rel}: не вдалося прочитати (${msg})`)
+      return
+    }
+    const combined = getCombinedNginxRunPatchTextFromKustomization(raw)
+    const v = validateAbieNginxRunHttpRoutePatches(combined, 'ua')
+    if (v !== null) {
+      fail(`${rel}: ${v}`)
+      return
+    }
+    passFn(`${rel}: HTTPRoute nginx-run (ua) відповідає abie.mdc`)
+  }
+
+  const ruAbsList = yamlFilesAbs.filter(abs => isRuKustomizationPath(relative(root, abs).replaceAll('\\', '/') || abs))
+  if (ruAbsList.length === 0) {
+    fail(
+      'Є Deployment у k8s — додай ru/kustomization.yaml з patch HTTPRoute nginx-run (hostnames, namespace ru, gwin websocket) — abie.mdc'
+    )
+    return
+  }
+  for (const abs of ruAbsList) {
+    const rel = relative(root, abs).replaceAll('\\', '/') || abs
+    let raw
+    try {
+      raw = await readFile(abs, 'utf8')
+    } catch (error) {
+      const msg = error instanceof Error ? error.message : String(error)
+      fail(`${rel}: не вдалося прочитати (${msg})`)
+      return
+    }
+    const combined = getCombinedNginxRunPatchTextFromKustomization(raw)
+    const v = validateAbieNginxRunHttpRoutePatches(combined, 'ru')
+    if (v !== null) {
+      fail(`${rel}: ${v}`)
+      return
+    }
+    passFn(`${rel}: HTTPRoute nginx-run (ru) відповідає abie.mdc`)
   }
 }
 
@@ -597,17 +899,14 @@ async function ensureUaRuAbieNodeSelectorPatches(root, yamlFilesAbs, fail) {
  * @returns {Promise<number>} 0 — OK, 1 — є порушення
  */
 export async function check() {
-  let exitCode = 0
-  const fail = msg => {
-    console.log(`  ❌ ${msg}`)
-    exitCode = 1
-  }
+  const reporter = createCheckReporter()
+  const { pass, fail } = reporter
 
   const root = process.cwd()
   const enabled = await isAbieRuleEnabled(root)
   if (!enabled) {
     pass(`Правило abie не увімкнено в ${CONFIG_FILE} (rules) — перевірку пропущено`)
-    return 0
+    return reporter.getExitCode()
   }
 
   pass('Правило abie увімкнено — виконуємо перевірки')
@@ -672,6 +971,8 @@ export async function check() {
         )
       }
     }
+    pass('Є Deployment — перевіряємо base: spec.template.spec.nodeSelector.preem (abie.mdc)')
+    await ensureAbieBaseDeploymentPreemNodeSelector(root, yamlFiles, fail, pass)
   } else {
     pass('Немає Deployment у дереві k8s — перевірку hc.yaml пропущено')
   }
@@ -681,8 +982,10 @@ export async function check() {
 
   if (deploymentDirs.size > 0) {
     pass('Є Deployment — перевіряємо nodeSelector у ua/ru kustomization (abie.mdc)')
-    await ensureUaRuAbieNodeSelectorPatches(root, yamlFiles, fail)
+    await ensureUaRuAbieNodeSelectorPatches(root, yamlFiles, fail, pass)
+    pass('Є Deployment — перевіряємо HTTPRoute nginx-run у ua/ru kustomization (abie.mdc)')
+    await ensureUaRuAbieHttpRoutePatches(root, yamlFiles, fail, pass)
   }
 
-  return exitCode
+  return reporter.getExitCode()
 }

package/scripts/check-bun.mjs

@@ -17,7 +17,7 @@
 import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
 
-import { pass } from './utils/pass.mjs'
+import { createCheckReporter } from './utils/check-reporter.mjs'
 
 /**
  * Чи ім'я пакета дозволене в кореневих `devDependencies` за bun.mdc (лише `@cspell/*` та `@nitra/*`).
@@ -53,11 +53,8 @@ async function loadNCursorRules() {
  * @returns {Promise<number>} 0 — все OK, 1 — є проблеми
  */
 export async function check() {
-  let exitCode = 0
-  const fail = msg => {
-    console.log(`  ❌ ${msg}`)
-    exitCode = 1
-  }
+  const reporter = createCheckReporter()
+  const { pass, fail } = reporter
 
   const forbidden = ['package-lock.json', 'yarn.lock', 'pnpm-lock.yaml', '.yarnrc.yml']
   for (const f of forbidden) {
@@ -164,5 +161,5 @@ export async function check() {
     }
   }
 
-  return exitCode
+  return reporter.getExitCode()
 }

package/scripts/check-docker.mjs

@@ -8,7 +8,7 @@
 import { basename } from 'node:path'
 
 import { lintDockerfileWithHadolint, posixRel } from './utils/docker-hadolint.mjs'
-import { pass } from './utils/pass.mjs'
+import { createCheckReporter } from './utils/check-reporter.mjs'
 import { walkDir } from './utils/walkDir.mjs'
 
 /**
@@ -42,18 +42,15 @@ export async function findDockerfilePaths(root) {
  * @returns {Promise<number>} 0 — все OK, 1 — є зауваження або помилка запуску
  */
 export async function check() {
-  let exitCode = 0
-  const fail = msg => {
-    console.log(`  ❌ ${msg}`)
-    exitCode = 1
-  }
+  const reporter = createCheckReporter()
+  const { pass, fail } = reporter
 
   const root = process.cwd()
   const files = await findDockerfilePaths(root)
 
   if (files.length === 0) {
     pass('Немає Dockerfile / Containerfile — перевірку hadolint пропущено')
-    return 0
+    return reporter.getExitCode()
   }
 
   pass(`Знайдено файлів для hadolint: ${files.length}`)
@@ -69,5 +66,5 @@ export async function check() {
     }
   }
 
-  return exitCode
+  return reporter.getExitCode()
 }

package/scripts/check-ga.mjs

@@ -14,7 +14,7 @@ import { existsSync } from 'node:fs'
 import { readdir, readFile } from 'node:fs/promises'
 import { join } from 'node:path'
 
-import { pass } from './utils/pass.mjs'
+import { createCheckReporter } from './utils/check-reporter.mjs'
 import {
   anyRunStepIncludes,
   eventPathsIncludeExact,
@@ -122,17 +122,14 @@ function verifyNoDirectBunOrCache(relPath, content, failFn, passFn) {
  * @returns {Promise<number>} 0 — все OK, 1 — є проблеми
  */
 export async function check() {
-  let exitCode = 0
-  const fail = msg => {
-    console.log(`  ❌ ${msg}`)
-    exitCode = 1
-  }
+  const reporter = createCheckReporter()
+  const { pass, fail } = reporter
 
   const wfDir = '.github/workflows'
 
   if (!existsSync(wfDir)) {
     fail(`Директорія ${wfDir} не існує`)
-    return exitCode
+    return reporter.getExitCode()
   }
 
   const setupBunDepsAction = '.github/actions/setup-bun-deps/action.yml'
@@ -290,5 +287,5 @@ export async function check() {
     }
   }
 
-  return exitCode
+  return reporter.getExitCode()
 }

package/scripts/check-js-format.mjs

@@ -6,18 +6,15 @@
 import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
 
-import { pass } from './utils/pass.mjs'
+import { createCheckReporter } from './utils/check-reporter.mjs'
 
 /**
  * Перевіряє відповідність проєкту правилам js-format.mdc
  * @returns {Promise<number>} 0 — все OK, 1 — є проблеми
  */
 export async function check() {
-  let exitCode = 0
-  const fail = msg => {
-    console.log(`  ❌ ${msg}`)
-    exitCode = 1
-  }
+  const reporter = createCheckReporter()
+  const { pass, fail } = reporter
 
   const expectedKeys = [
     'arrowParens',
@@ -95,5 +92,5 @@ export async function check() {
     if (pkg.prettier) fail('package.json містить поле "prettier" — видали його')
   }
 
-  return exitCode
+  return reporter.getExitCode()
 }

package/scripts/check-js-lint.mjs

@@ -10,7 +10,7 @@ import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
 
 import { parseWorkflowYaml, verifyLintJsWorkflowStructure } from './utils/gha-workflow.mjs'
-import { pass } from './utils/pass.mjs'
+import { createCheckReporter } from './utils/check-reporter.mjs'
 
 /** Очікуваний локальний скрипт. */
 export const CANONICAL_LINT_JS = 'bunx oxlint --fix && bunx eslint --fix . && bunx jscpd .'
@@ -41,11 +41,8 @@ export function isCanonicalLintJs(script) {
  * @returns {Promise<number>} 0 — все OK, 1 — є проблеми
  */
 export async function check() {
-  let exitCode = 0
-  const fail = msg => {
-    console.log(`  ❌ ${msg}`)
-    exitCode = 1
-  }
+  const reporter = createCheckReporter()
+  const { pass, fail } = reporter
 
   let eslintPath = ''
   if (existsSync('eslint.config.js')) {
@@ -242,5 +239,5 @@ export async function check() {
     if (existsSync(dup)) fail(`Знайдено застарілий конфіг ESLint: ${dup} — видали, використовуй flat config`)
   }
 
-  return exitCode
+  return reporter.getExitCode()
 }

package/scripts/check-js-pino.mjs

@@ -8,16 +8,17 @@ import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
 import { join } from 'node:path'
 
-import { pass } from './utils/pass.mjs'
+import { createCheckReporter } from './utils/check-reporter.mjs'
 import { getMonorepoPackageRootDirs } from './utils/workspaces.mjs'
 
 /**
  * Перевіряє відповідність правилам js-pino.mdc для одного workspace-пакета.
  * @param {string} rootDir відносний шлях workspace (не `'.'`)
  * @param {(msg: string) => void} fail функція зворотного виклику для реєстрації помилки перевірки
+ * @param {(msg: string) => void} passFn успішне повідомлення (як у check-reporter)
  * @returns {Promise<void>} завершується після перевірок цього пакета
  */
-async function checkWorkspacePackage(rootDir, fail) {
+async function checkWorkspacePackage(rootDir, fail, passFn) {
   const label = `[${rootDir}] `
   const pkgPath = join(rootDir, 'package.json')
   if (existsSync(pkgPath)) {
@@ -36,9 +37,9 @@ async function checkWorkspacePackage(rootDir, fail) {
   if (existsSync(configmapPath)) {
     const content = await readFile(configmapPath, 'utf8')
     if (content.includes('OTEL_RESOURCE_ATTRIBUTES')) {
-      pass(`${label}k8s/base/configmap.yaml містить OTEL_RESOURCE_ATTRIBUTES`)
+      passFn(`${label}k8s/base/configmap.yaml містить OTEL_RESOURCE_ATTRIBUTES`)
       if (content.includes('service.name=') && content.includes('service.namespace=')) {
-        pass(`${label}OTEL_RESOURCE_ATTRIBUTES містить service.name та service.namespace`)
+        passFn(`${label}OTEL_RESOURCE_ATTRIBUTES містить service.name та service.namespace`)
       } else {
         fail(`${label}OTEL_RESOURCE_ATTRIBUTES має містити service.name=<name>,service.namespace=<namespace>`)
       }
@@ -53,23 +54,20 @@ async function checkWorkspacePackage(rootDir, fail) {
  * @returns {Promise<number>} 0 — все OK, 1 — є проблеми
  */
 export async function check() {
-  let exitCode = 0
-  const fail = msg => {
-    console.log(`  ❌ ${msg}`)
-    exitCode = 1
-  }
+  const reporter = createCheckReporter()
+  const { pass, fail } = reporter
 
   const roots = await getMonorepoPackageRootDirs()
   const workspaceRoots = roots.filter(r => r !== '.')
 
   if (workspaceRoots.length === 0) {
     pass('js-pino: немає workspace-пакетів у кореневому package.json — перевірку залежностей і k8s у пакетах пропущено')
-    return exitCode
+    return reporter.getExitCode()
   }
 
   for (const r of workspaceRoots) {
-    await checkWorkspacePackage(r, fail)
+    await checkWorkspacePackage(r, fail, pass)
   }
 
-  return exitCode
+  return reporter.getExitCode()
 }

package/scripts/check-k8s.mjs

@@ -51,7 +51,7 @@ import { basename, dirname, join, relative, resolve } from 'node:path'
 
 import { parseAllDocuments } from 'yaml'
 
-import { pass } from './utils/pass.mjs'
+import { createCheckReporter } from './utils/check-reporter.mjs'
 import { walkDir } from './utils/walkDir.mjs'
 
 /** Версія набору схем yannh — узгоджено з k8s.mdc */
@@ -1482,11 +1482,8 @@ async function ensureBaseKustomizationHasNamespace(root, yamlFiles, fail) {
  * @returns {Promise<number>} 0 — все OK, 1 — є проблеми
  */
 export async function check() {
-  let exitCode = 0
-  const fail = msg => {
-    console.log(`  ❌ ${msg}`)
-    exitCode = 1
-  }
+  const reporter = createCheckReporter()
+  const { pass, fail } = reporter
 
   const root = process.cwd()
 
@@ -1496,7 +1493,7 @@ export async function check() {
 
   if (yamlFiles.length === 0) {
     pass('Немає *.yaml під k8s — перевірку $schema пропущено')
-    return 0
+    return reporter.getExitCode()
   }
 
   pass(`YAML у k8s: ${yamlFiles.length} файл(ів)`)
@@ -1515,5 +1512,5 @@ export async function check() {
 
   await ensureBaseKustomizationHasNamespace(root, yamlFiles, fail)
 
-  return exitCode
+  return reporter.getExitCode()
 }

package/scripts/check-nginx-default-tpl.mjs

@@ -18,7 +18,7 @@ import { readdir, readFile, rename, unlink, writeFile } from 'node:fs/promises'
 import { basename, dirname, join, relative } from 'node:path'
 
 import { findDockerfilePaths } from './check-docker.mjs'
-import { pass } from './utils/pass.mjs'
+import { createCheckReporter } from './utils/check-reporter.mjs'
 import { walkDir } from './utils/walkDir.mjs'
 
 /**
@@ -264,11 +264,8 @@ function dockerfileHasEnvsSubstTemplate(dockerfileContent) {
  * @returns {Promise<number>} 0 — все OK, 1 — є проблеми
  */
 export async function check() {
-  let exitCode = 0
-  const fail = msg => {
-    console.log(`  ❌ ${msg}`)
-    exitCode = 1
-  }
+  const reporter = createCheckReporter()
+  const { pass, fail } = reporter
 
   const root = process.cwd()
 
@@ -284,7 +281,7 @@ export async function check() {
 
   if (templates.length === 0) {
     pass('Немає default.conf.template — перевірку nginx-default-tpl пропущено')
-    return 0
+    return reporter.getExitCode()
   }
 
   pass(`Знайдено default.conf.template: ${templates.length}`)
@@ -383,5 +380,5 @@ export async function check() {
     fail('Очікується .vscode/settings.json з форматером nginx і formatOnSave (див. nginx-default-tpl.mdc)')
   }
 
-  return exitCode
+  return reporter.getExitCode()
 }

package/scripts/check-npm-module.mjs

@@ -7,7 +7,7 @@
 import { existsSync } from 'node:fs'
 import { readFile, stat } from 'node:fs/promises'
 
-import { pass } from './utils/pass.mjs'
+import { createCheckReporter } from './utils/check-reporter.mjs'
 import {
   hasIdTokenWritePermission,
   hasNpmPublishStepWithPackage,
@@ -21,11 +21,8 @@ import {
  * @returns {Promise<number>} 0 — все OK, 1 — є проблеми
  */
 export async function check() {
-  let exitCode = 0
-  const fail = msg => {
-    console.log(`  ❌ ${msg}`)
-    exitCode = 1
-  }
+  const reporter = createCheckReporter()
+  const { pass, fail } = reporter
 
   if (existsSync('package.json')) {
     pass('package.json існує')
@@ -114,5 +111,5 @@ export async function check() {
     fail(`Відсутній ${publishWf} (npm-module.mdc: npm publish)`)
   }
 
-  return exitCode
+  return reporter.getExitCode()
 }

package/scripts/check-style-lint.mjs

@@ -8,7 +8,7 @@
 import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
 
-import { pass } from './utils/pass.mjs'
+import { createCheckReporter } from './utils/check-reporter.mjs'
 import { anyRunStepIncludesStylelint, parseWorkflowYaml } from './utils/gha-workflow.mjs'
 
 /**
@@ -16,11 +16,8 @@ import { anyRunStepIncludesStylelint, parseWorkflowYaml } from './utils/gha-work
  * @returns {Promise<number>} 0 — все OK, 1 — є проблеми
  */
 export async function check() {
-  let exitCode = 0
-  const fail = msg => {
-    console.log(`  ❌ ${msg}`)
-    exitCode = 1
-  }
+  const reporter = createCheckReporter()
+  const { pass, fail } = reporter
 
   if (existsSync('package.json')) {
     const pkg = JSON.parse(await readFile('package.json', 'utf8'))
@@ -105,5 +102,5 @@ export async function check() {
     }
   }
 
-  return exitCode
+  return reporter.getExitCode()
 }

package/scripts/check-text.mjs

@@ -12,7 +12,7 @@
 import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
 
-import { pass } from './utils/pass.mjs'
+import { createCheckReporter } from './utils/check-reporter.mjs'
 import { anyRunStepIncludes, parseWorkflowYaml } from './utils/gha-workflow.mjs'
 
 /** Заголовок абзацу про апостроф у text.mdc / n-text.mdc. */
@@ -47,11 +47,8 @@ function verifyUkApostropheRuleParagraph(filePath, body, failFn, passFn) {
  * @returns {Promise<number>} 0 — все OK, 1 — є проблеми
  */
 export async function check() {
-  let exitCode = 0
-  const fail = msg => {
-    console.log(`  ❌ ${msg}`)
-    exitCode = 1
-  }
+  const reporter = createCheckReporter()
+  const { pass, fail } = reporter
 
   const v8rIgnoreRequired = ['.vscode/extensions.json', '.vscode/settings.json']
   if (existsSync('.v8rignore')) {
@@ -215,5 +212,5 @@ export async function check() {
     }
   }
 
-  return exitCode
+  return reporter.getExitCode()
 }

package/scripts/check-vue.mjs

@@ -11,7 +11,7 @@ import { existsSync } from 'node:fs'
 import { readFile } from 'node:fs/promises'
 import { join, relative } from 'node:path'
 
-import { pass } from './utils/pass.mjs'
+import { createCheckReporter } from './utils/check-reporter.mjs'
 import {
   findForbiddenVueImportsInSourceFile,
   isVueImportScanSourceFile,
@@ -53,9 +53,10 @@ function ukFilesCountPhrase(n) {
  * Перевіряє залежності та vite.config одного Vue-пакета.
  * @param {string} rootDir відносний шлях до пакета
  * @param {(msg: string) => void} fail функція зворотного виклику для реєстрації помилки перевірки
+ * @param {(msg: string) => void} passFn успішне повідомлення (як у check-reporter)
  * @returns {Promise<void>} завершується після перевірок залежностей, `vite.config` і сканування джерел на імпорти з `vue`
  */
-async function checkVuePackage(rootDir, fail) {
+async function checkVuePackage(rootDir, fail, passFn) {
   const label = packageLabel(rootDir)
   const prefix = `[${label}] `
 
@@ -66,7 +67,7 @@ async function checkVuePackage(rootDir, fail) {
   const allDeps = { ...deps, ...devDeps }
 
   if (deps.vue) {
-    pass(`${prefix}vue в dependencies: ${deps.vue}`)
+    passFn(`${prefix}vue в dependencies: ${deps.vue}`)
   } else {
     fail(`${prefix}vue відсутній в dependencies`)
   }
@@ -74,7 +75,7 @@ async function checkVuePackage(rootDir, fail) {
   if (devDeps.vite) {
     const match = devDeps.vite.match(/(\d+)/)
     if (match && Number(match[1]) >= 8) {
-      pass(`${prefix}vite >= 8: ${devDeps.vite}`)
+      passFn(`${prefix}vite >= 8: ${devDeps.vite}`)
     } else {
       fail(`${prefix}vite має бути >= 8, знайдено: ${devDeps.vite}`)
     }
@@ -83,25 +84,25 @@ async function checkVuePackage(rootDir, fail) {
   }
 
   if (devDeps['@vitejs/plugin-vue']) {
-    pass(`${prefix}@vitejs/plugin-vue: ${devDeps['@vitejs/plugin-vue']}`)
+    passFn(`${prefix}@vitejs/plugin-vue: ${devDeps['@vitejs/plugin-vue']}`)
   } else {
     fail(`${prefix}@vitejs/plugin-vue відсутній в devDependencies`)
   }
 
   if (allDeps['vue-macros']) {
-    pass(`${prefix}vue-macros: ${allDeps['vue-macros']}`)
+    passFn(`${prefix}vue-macros: ${allDeps['vue-macros']}`)
   } else {
     fail(`${prefix}vue-macros відсутній — bun add -d vue-macros`)
   }
 
   if (allDeps['unplugin-auto-import']) {
-    pass(`${prefix}unplugin-auto-import присутній`)
+    passFn(`${prefix}unplugin-auto-import присутній`)
   } else {
     fail(`${prefix}unplugin-auto-import відсутній — bun add -d unplugin-auto-import`)
   }
 
   if (allDeps['vite-plugin-vue-layouts-next']) {
-    pass(`${prefix}vite-plugin-vue-layouts-next присутній`)
+    passFn(`${prefix}vite-plugin-vue-layouts-next присутній`)
   } else {
     fail(`${prefix}vite-plugin-vue-layouts-next відсутній — bun add -d vite-plugin-vue-layouts-next`)
   }
@@ -112,12 +113,12 @@ async function checkVuePackage(rootDir, fail) {
     const relConfig = join(rootDir, viteConfig)
     const content = await readFile(relConfig, 'utf8')
     if (content.includes('VueMacros')) {
-      pass(`${prefix}${viteConfig} використовує VueMacros`)
+      passFn(`${prefix}${viteConfig} використовує VueMacros`)
     } else {
       fail(`${prefix}${viteConfig} не містить VueMacros`)
     }
     if (content.includes('AutoImport')) {
-      pass(`${prefix}${viteConfig} використовує AutoImport`)
+      passFn(`${prefix}${viteConfig} використовує AutoImport`)
     } else {
       fail(`${prefix}${viteConfig} не містить AutoImport`)
     }
@@ -147,7 +148,7 @@ async function checkVuePackage(rootDir, fail) {
     }
   }
   if (importViolations === 0) {
-    pass(
+    passFn(
       `${prefix}немає заборонених value-імпортів з 'vue' у джерелах (проскановано ${ukFilesCountPhrase(sourcePaths.length)})`
     )
   }
@@ -158,11 +159,8 @@ async function checkVuePackage(rootDir, fail) {
  * @returns {Promise<number>} 0 — все OK, 1 — є проблеми
  */
 export async function check() {
-  let exitCode = 0
-  const fail = msg => {
-    console.log(`  ❌ ${msg}`)
-    exitCode = 1
-  }
+  const reporter = createCheckReporter()
+  const { pass, fail } = reporter
 
   if (existsSync('.vscode/extensions.json')) {
     const ext = JSON.parse(await readFile('.vscode/extensions.json', 'utf8'))
@@ -188,12 +186,12 @@ export async function check() {
 
   if (vueRoots.length === 0) {
     fail('vue не знайдено в dependencies жодного пакета (корінь репо та каталоги з кореневого workspaces)')
-    return exitCode
+    return reporter.getExitCode()
   }
 
   for (const r of vueRoots) {
-    await checkVuePackage(r, fail)
+    await checkVuePackage(r, fail, pass)
   }
 
-  return exitCode
+  return reporter.getExitCode()
 }

package/scripts/run-docker.mjs

@@ -11,7 +11,7 @@ import { basename } from 'node:path'
 
 import { isRunAsCli } from './cli-entry.mjs'
 import { lintDockerfileWithHadolint, posixRel } from './utils/docker-hadolint.mjs'
-import { pass } from './utils/pass.mjs'
+import { createCheckReporter } from './utils/check-reporter.mjs'
 import { walkDir } from './utils/walkDir.mjs'
 
 /**
@@ -44,18 +44,15 @@ export async function findLintDockerfilePaths(root) {
  * @returns {Promise<number>} 0 — OK, 1 — зауваження або помилка
  */
 async function main() {
-  let exitCode = 0
-  const fail = msg => {
-    console.log(`  ❌ ${msg}`)
-    exitCode = 1
-  }
+  const reporter = createCheckReporter()
+  const { pass, fail } = reporter
 
   const root = process.cwd()
   const files = await findLintDockerfilePaths(root)
 
   if (files.length === 0) {
     pass('lint-docker: немає Dockerfile / *.Dockerfile — hadolint пропущено')
-    return 0
+    return reporter.getExitCode()
   }
 
   pass(`lint-docker: файлів для hadolint: ${files.length}`)
@@ -71,7 +68,7 @@ async function main() {
     }
   }
 
-  return exitCode
+  return reporter.getExitCode()
 }
 
 if (isRunAsCli()) {

package/scripts/utils/check-reporter.mjs

@@ -0,0 +1,27 @@
+/**
+ * Спільний репортер для check-скриптів і lint-docker.
+ *
+ * Об’єднує вивід успіхів (`pass` з `pass.mjs`) і помилок з префіксом ❌; накопичує код виходу **1**,
+ * якщо хоча б раз викликано `fail`.
+ *
+ * Використовуй `getExitCode()` у `return`, а не деструктуризацію `exitCode` — геттер «знімається» один раз.
+ */
+import { pass } from './pass.mjs'
+
+/**
+ * Створює пару `pass` / `fail` з накопиченням ненульового коду виходу.
+ * @returns {{ pass: typeof pass, fail: (msg: string) => void, getExitCode: () => number }}
+ */
+export function createCheckReporter() {
+  let exitCode = 0
+  return {
+    pass,
+    fail(msg) {
+      console.log(`  ❌ ${msg}`)
+      exitCode = 1
+    },
+    getExitCode() {
+      return exitCode
+    }
+  }
+}