@nitra/cursor 1.9.16 → 1.9.18

package/CHANGELOG.md

@@ -4,6 +4,42 @@
 
 Формат — [Keep a Changelog](https://keepachangelog.com/uk/1.1.0/), нумерація — [SemVer](https://semver.org/lang/uk/).
 
+## [1.9.18] - 2026-05-13
+
+### Changed
+
+- **`docker.mdc` (`1.8 → 1.9`) — узгоджено канонічний `lint-docker.yml` з ga.mdc:** видалено 4 застарілих кроки з прикладу workflow (`actions/setup-node@v6` + `oven-sh/setup-bun@v2` + `actions/cache@v5` + `bun install --frozen-lockfile`) і замінено на один `uses: ./.github/actions/setup-bun-deps`. Раніше docker.mdc показував саме той патерн, який `ga.mdc` явно називає «❌ НЕПРАВИЛЬНО» і який `ga.workflow_common.rego` ловить через `forbidden_step_substrings` (3 заборонені підрядки). Конфлікт виник тому, що інші правила (`lint-style.mdc`, `lint-text.mdc`, `lint-js.mdc`) уже мігровано на composite, а docker.mdc пропустили. Hadolint-install залишається як окремий `curl`-крок (так само як `Install conftest` у `lint-ga.yml`).
+
+### Added
+
+- **`docker.package_json` rego — канонічний `scripts.lint-docker`:** deny, якщо ключ `scripts.lint-docker` присутній, але його значення ≠ `"bun ./npm/scripts/run-docker.mjs"`. Умовну обовʼязковість (правило `docker` у `.n-cursor.json` → `scripts.lint-docker` ЗОБОВ'ЯЗАНИЙ існувати) перевіряє `check-bun.mjs` cross-file, тут rego видно лише один документ. +6 тестів через `json.patch`-фікстури (canonical / lint-docker absent / whitespace / wrong value).
+- **`docker.lint_docker_yml` rego — структура `.github/workflows/lint-docker.yml`:** 4 deny — (1) `on.push.paths` має містити 3 канонічні glob-и (`**/Dockerfile`, `**/*.Dockerfile`, `**/*.dockerfile`); (2) у `run:` будь-якого кроку має бути URL з версією `v2.12.0` (узгоджено з `HADOLINT_IMAGE` у `npm/scripts/utils/docker-hadolint.mjs`); (3) у `uses:` має бути `./.github/actions/setup-bun-deps` (canonical composite per ga.mdc); (4) у `run:` має бути `bun run lint-docker`. +9 тестів через `json.patch`-фікстури.
+- **`lint-conftest.mjs` TARGETS — два нові entry:** `docker.package_json` (single: `package.json`) і `docker.lint_docker_yml` (single: `.github/workflows/lint-docker.yml`), обидва з `rule: 'docker'`. Цей репо (cursor) не має `docker` у `.n-cursor.json:rules` → docker таргети тут не активуються; полісі діятиме на проєкти-споживачі.
+- **15 нових rego-тестів** (6 + 9), `conftest verify` — **267/267 pass** (+15).
+
+### Regal fixes during migration
+
+- `idiomatic/prefer-set-or-object-rule` у `lint_docker_yml.rego`: `all_step_uses := {u | …}` (comprehension) → `all_step_uses contains u if { … }` (incremental set rule).
+- `style/line-length` × 3: винесено довгі hadolint-URL і шаблон повідомлення у проміжні константи через `concat`.
+
+## [1.9.17] - 2026-05-13
+
+### Added
+
+- **2 нові rego-полісі для text.mdc VSCode-канону** (мігровано з `check-text.mjs`):
+  - `text.vscode_extensions` — `recommendations` має містити три розширення: `DavidAnson.vscode-markdownlint`, `oxc.oxc-vscode`, `timonwong.shellcheck`. Шаблон повідомлень + множина `recommendations_set` (винесена поза `deny`, щоб не порушити `performance/non-loop-expression`).
+  - `text.vscode_settings` — `editor.formatOnSave: true` плюс шість мов-блоків (`[javascript]`/`[typescript]`/`[json]`/`[vue]`/`[css]`/`[html]`) з `editor.defaultFormatter: "oxc.oxc-vscode"`. Окремі deny для «не object» і «неправильний defaultFormatter». Канон задає мінімум — додаткові lang-блоки дозволені.
+- **18 нових rego-тестів** (7 для `vscode_extensions` + 11 для `vscode_settings`): happy path, додаткові поля, відсутність кожного розширення, відсутність `formatOnSave`, неправильний defaultFormatter, відсутні lang-блоки. `conftest verify` — **252/252 pass** (+18).
+- **`lint-conftest.mjs` TARGETS — два нові entry для text:** `text.vscode_extensions` (`single: '.vscode/extensions.json'`) і `text.vscode_settings` (`single: '.vscode/settings.json'`), обидва з `rule: 'text'`. Глобально активуються для всіх проєктів з `text` у `.n-cursor.json:rules`.
+
+### Removed
+
+- **`check-text.mjs::checkVscodeTextExtensions` / `checkVscodeTextSettings` / `checkVscodeText`** — три JS-функції видалено разом з викликом `await checkVscodeText(pass, fail)` у `check()`. Зміст delegated у rego (`text.vscode_extensions` + `text.vscode_settings`).
+
+### Changed
+
+- **`check-text.mjs::checkTextConfigsExistence` — розширено двома записами:** тепер вимагає FS-існування `.vscode/extensions.json` і `.vscode/settings.json` поряд з `.oxfmtrc.json` / `.cspell.json` / `.markdownlint-cli2.jsonc`. lint-conftest з rego skip-ить неіснуючі файли, тому FS-existence лишається в JS — це працює як «єдина точка контролю наявності файлу + delegated content-валідація у rego».
+
 ## [1.9.16] - 2026-05-13
 
 ### Added

package/mdc/docker.mdc

@@ -1,6 +1,6 @@
 ---
 description: Dockerfile — lint-docker / hadolint; перевірка check-docker
-version: '1.8'
+version: '1.9'
 globs: "**/Dockerfile*"
 alwaysApply: false
 ---
@@ -153,24 +153,7 @@ jobs:
           chmod +x /tmp/hadolint
           sudo mv /tmp/hadolint /usr/local/bin/hadolint
 
-      - uses: actions/setup-node@v6
-        with:
-          node-version: '24'
-
-      - uses: oven-sh/setup-bun@v2
-
-      - name: Cache Bun dependencies
-        uses: actions/cache@v5
-        with:
-          path: |
-            ~/.bun/install/cache
-            node_modules
-          key: ${{ runner.os }}-bun-${{ hashFiles('**/bun.lock') }}
-          restore-keys: |
-            ${{ runner.os }}-bun-
-
-      - name: Install dependencies
-        run: bun install --frozen-lockfile
+      - uses: ./.github/actions/setup-bun-deps
 
       - name: Lint Docker
         run: bun run lint-docker

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nitra/cursor",
-  "version": "1.9.16",
+  "version": "1.9.18",
   "description": "CLI для завантаження cursor-правил (префікс n-) у локальний репозиторій",
   "keywords": [
     "cli",

package/policy/docker/lint_docker_yml/lint_docker_yml.rego

@@ -0,0 +1,91 @@
+# Перевірка `.github/workflows/lint-docker.yml` (docker.mdc).
+#
+# Запуск (локально):
+#   conftest test .github/workflows/lint-docker.yml -p npm/policy/docker/lint_docker_yml \
+#     --namespace docker.lint_docker_yml
+#
+# Canonical (docker.mdc):
+#   - `on.push.paths` містить glob-и для Dockerfile (`**/Dockerfile`, `**/*.Dockerfile`,
+#     `**/*.dockerfile`);
+#   - крок `Install hadolint` з URL версії `v2.12.0` (узгоджено з `HADOLINT_IMAGE`
+#     у `npm/scripts/utils/docker-hadolint.mjs`);
+#   - крок `uses: ./.github/actions/setup-bun-deps` (canonical composite per ga.mdc;
+#     прямі `oxen-sh/setup-bun`/`actions/cache`/`bun install` заборонено через
+#     `ga.workflow_common`);
+#   - крок `run: bun run lint-docker`.
+#
+# Універсальні workflow-перевірки (concurrency, заборонені setup-bun/cache/install,
+# shell line-continuation) — у `ga.workflow_common`.
+#
+# Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
+package docker.lint_docker_yml
+
+import rego.v1
+
+required_push_paths := {"**/Dockerfile", "**/*.Dockerfile", "**/*.dockerfile"}
+required_hadolint_version := "v2.12.0"
+canonical_setup_bun_action := "./.github/actions/setup-bun-deps"
+
+# Усі тексти `uses:` зі steps усіх jobs (incremental set rule per regal:
+# prefer-set-or-object-rule — це краще за comprehension).
+all_step_uses contains u if {
+	some job in object.get(input, "jobs", {})
+	some step in object.get(job, "steps", [])
+	u := object.get(step, "uses", "")
+	u != ""
+}
+
+all_run_text := concat("\n", [run_text |
+	some job in object.get(input, "jobs", {})
+	some step in object.get(job, "steps", [])
+	run_text := step_run_to_text(step)
+])
+
+# Множина значень `on.push.paths` (підтримує `on: { push: { paths: [...] } }`).
+push_paths_set := {p |
+	some p in object.get(object.get(object.get(input, "on", {}), "push", {}), "paths", [])
+}
+
+# ── deny: on.push.paths ──────────────────────────────────────────────────
+
+deny contains msg if {
+	some required in required_push_paths
+	not required in push_paths_set
+	msg := sprintf("lint-docker.yml: on.push.paths має містити %q (docker.mdc)", [required])
+}
+
+# ── deny: hadolint install version ───────────────────────────────────────
+
+deny contains msg if {
+	not contains(all_run_text, required_hadolint_version)
+	msg := sprintf(
+		"lint-docker.yml: крок hadolint install має містити версію %q (узгоджено з HADOLINT_IMAGE) (docker.mdc)",
+		[required_hadolint_version],
+	)
+}
+
+# ── deny: setup-bun-deps composite ───────────────────────────────────────
+
+deny contains msg if {
+	not canonical_setup_bun_action in all_step_uses
+	msg := concat(" ", [
+		"lint-docker.yml: відсутній крок",
+		"`uses: ./.github/actions/setup-bun-deps` (canonical composite per ga.mdc) (docker.mdc)",
+	])
+}
+
+# ── deny: bun run lint-docker ────────────────────────────────────────────
+
+deny contains msg if {
+	not contains(all_run_text, "bun run lint-docker")
+	msg := "lint-docker.yml: жоден крок run не містить `bun run lint-docker` (docker.mdc)"
+}
+
+# ── helpers ──────────────────────────────────────────────────────────────
+
+# Текст `run:` як один рядок: підтримує string і array форми (YAML).
+step_run_to_text(step) := step.run if is_string(step.run)
+
+else := concat("\n", [s | some s in step.run]) if is_array(step.run)
+
+else := ""

package/policy/docker/lint_docker_yml/lint_docker_yml_test.rego

@@ -0,0 +1,104 @@
+# Тести для `docker.lint_docker_yml`. Запуск:
+#   conftest verify -p npm/policy/docker/lint_docker_yml
+package docker.lint_docker_yml_test
+
+import rego.v1
+
+import data.docker.lint_docker_yml
+
+hadolint_install_run := concat("", [
+	"curl -sSL -o /tmp/hadolint",
+	" https://github.com/hadolint/hadolint/releases/download/v2.12.0/hadolint-Linux-x86_64",
+])
+
+valid_wf := {
+	"name": "Lint Docker",
+	"on": {"push": {
+		"branches": ["dev", "main"],
+		"paths": ["**/Dockerfile", "**/*.Dockerfile", "**/*.dockerfile"],
+	}},
+	"jobs": {"lint-docker": {"steps": [
+		{"uses": "actions/checkout@v6"},
+		{"name": "Install hadolint", "run": hadolint_install_run},
+		{"uses": "./.github/actions/setup-bun-deps"},
+		{"name": "Lint Docker", "run": "bun run lint-docker"},
+	]}},
+}
+
+# ── happy path ────────────────────────────────────────────────────────────
+
+test_allow_canonical if {
+	count(lint_docker_yml.deny) == 0 with input as valid_wf
+}
+
+# ── deny: on.push.paths ──────────────────────────────────────────────────
+
+test_deny_missing_path_dockerfile if {
+	wf := json.patch(
+		valid_wf,
+		[{"op": "replace", "path": "/on/push/paths", "value": ["**/*.Dockerfile", "**/*.dockerfile"]}],
+	)
+	count(lint_docker_yml.deny) > 0 with input as wf
+}
+
+test_deny_missing_paths_field if {
+	wf := json.patch(valid_wf, [{"op": "remove", "path": "/on/push/paths"}])
+	count(lint_docker_yml.deny) > 0 with input as wf
+}
+
+# ── deny: hadolint version ──────────────────────────────────────────────
+
+test_deny_wrong_hadolint_version if {
+	wrong_version_run := concat("", [
+		"curl -sSL",
+		" https://github.com/hadolint/hadolint/releases/download/v2.11.0/hadolint-Linux-x86_64",
+	])
+	wf := json.patch(valid_wf, [{
+		"op": "replace",
+		"path": "/jobs/lint-docker/steps/1/run",
+		"value": wrong_version_run,
+	}])
+	count(lint_docker_yml.deny) > 0 with input as wf
+}
+
+test_deny_no_hadolint_install if {
+	wf := json.patch(valid_wf, [{
+		"op": "replace",
+		"path": "/jobs/lint-docker/steps/1",
+		"value": {"name": "Noop", "run": "echo ok"},
+	}])
+	count(lint_docker_yml.deny) > 0 with input as wf
+}
+
+# ── deny: composite setup-bun-deps ──────────────────────────────────────
+
+test_deny_inline_setup_bun_instead_of_composite if {
+	# Старий канон (НЕПРАВИЛЬНО per ga.mdc): пряме `oven-sh/setup-bun` замість composite.
+	wf := json.patch(valid_wf, [{
+		"op": "replace",
+		"path": "/jobs/lint-docker/steps/2",
+		"value": {"uses": "oven-sh/setup-bun@v2"},
+	}])
+	count(lint_docker_yml.deny) > 0 with input as wf
+}
+
+test_deny_no_setup_step if {
+	wf := json.patch(valid_wf, [{"op": "remove", "path": "/jobs/lint-docker/steps/2"}])
+	count(lint_docker_yml.deny) > 0 with input as wf
+}
+
+# ── deny: bun run lint-docker ──────────────────────────────────────────
+
+test_deny_missing_lint_docker_run if {
+	wf := json.patch(valid_wf, [{
+		"op": "replace",
+		"path": "/jobs/lint-docker/steps/3/run",
+		"value": "echo noop",
+	}])
+	count(lint_docker_yml.deny) > 0 with input as wf
+}
+
+test_deny_no_run_steps_at_all if {
+	wf := json.patch(valid_wf, [{"op": "replace", "path": "/jobs/lint-docker/steps", "value": []}])
+	count(lint_docker_yml.deny) > 0 with input as wf
+}

package/policy/docker/package_json/package_json.rego

@@ -0,0 +1,35 @@
+# Перевірка `package.json` для docker (docker.mdc).
+#
+# Запуск (локально):
+#   conftest test package.json -p npm/policy/docker/package_json \
+#     --namespace docker.package_json
+#
+# Canonical (docker.mdc): якщо у проєкті є правило `docker` (у `.n-cursor.json`),
+# у кореневому `package.json` має бути канонічний `scripts.lint-docker`.
+#
+# Цей пакет перевіряє ЛИШЕ зміст значення `scripts.lint-docker`, якщо ключ
+# присутній. Умовну обовʼязковість (правило `docker` у `.n-cursor.json` →
+# `scripts.lint-docker` ЗОБОВ'ЯЗАНИЙ існувати) перевіряє `check-bun.mjs` через
+# cross-file логіку (читає `.n-cursor.json` і `package.json`). Тут rego видно
+# лише один документ, тому без `.n-cursor.json`-контексту вимагати наявність
+# `scripts.lint-docker` означало б false-positive порушення для проєктів без docker.
+#
+# Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
+package docker.package_json
+
+import rego.v1
+
+canonical_lint_docker := "bun ./npm/scripts/run-docker.mjs"
+
+lint_docker_template := concat(" ", [
+	"package.json: scripts.lint-docker має бути %q",
+	"(зараз: %q) (docker.mdc)",
+])
+
+deny contains msg if {
+	scripts := object.get(input, "scripts", {})
+	lint_docker := object.get(scripts, "lint-docker", "")
+	lint_docker != ""
+	trim_space(lint_docker) != canonical_lint_docker
+	msg := sprintf(lint_docker_template, [canonical_lint_docker, lint_docker])
+}

package/policy/docker/package_json/package_json_test.rego

@@ -0,0 +1,42 @@
+# Тести для `docker.package_json`. Запуск:
+#   conftest verify -p npm/policy/docker/package_json
+package docker.package_json_test
+
+import rego.v1
+
+import data.docker.package_json
+
+canonical_lint_docker := "bun ./npm/scripts/run-docker.mjs"
+
+# ── happy path ────────────────────────────────────────────────────────────
+
+test_allow_canonical if {
+	pkg := {"scripts": {"lint-docker": canonical_lint_docker}}
+	count(package_json.deny) == 0 with input as pkg
+}
+
+test_allow_lint_docker_absent if {
+	# rego не вимагає наявність — cross-file умовно вимагає `check-bun.mjs`.
+	count(package_json.deny) == 0 with input as {"scripts": {}}
+}
+
+test_allow_no_scripts_at_all if {
+	count(package_json.deny) == 0 with input as {"name": "x"}
+}
+
+test_allow_with_extra_whitespace if {
+	pkg := {"scripts": {"lint-docker": concat("", [" ", canonical_lint_docker, "  "])}}
+	count(package_json.deny) == 0 with input as pkg
+}
+
+# ── deny ──────────────────────────────────────────────────────────────────
+
+test_deny_lint_docker_wrong_value if {
+	pkg := {"scripts": {"lint-docker": "hadolint Dockerfile"}}
+	count(package_json.deny) > 0 with input as pkg
+}
+
+test_deny_lint_docker_old_npx_form if {
+	pkg := {"scripts": {"lint-docker": "npx hadolint ."}}
+	count(package_json.deny) > 0 with input as pkg
+}

package/policy/text/vscode_extensions/vscode_extensions.rego

@@ -0,0 +1,36 @@
+# Перевірка `.vscode/extensions.json` для text (text.mdc).
+#
+# Запуск (локально):
+#   conftest test .vscode/extensions.json -p npm/policy/text/vscode_extensions \
+#     --namespace text.vscode_extensions
+#
+# Canonical (text.mdc): у `recommendations` мають бути три розширення
+#   - DavidAnson.vscode-markdownlint
+#   - oxc.oxc-vscode
+#   - timonwong.shellcheck
+#
+# Канон задає мінімум — додаткові записи (від інших правил) дозволені.
+#
+# Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
+package text.vscode_extensions
+
+import rego.v1
+
+required_extensions := {
+	"DavidAnson.vscode-markdownlint",
+	"oxc.oxc-vscode",
+	"timonwong.shellcheck",
+}
+
+missing_extension_template := ".vscode/extensions.json: recommendations має містити %q (text.mdc)"
+
+# Множина усіх записів `recommendations` (вираз поза deny — щоб regal не лаявся
+# performance/non-loop-expression: інакше `object.get` виконувався б на кожній
+# ітерації по `required_extensions`).
+recommendations_set := {r | some r in object.get(input, "recommendations", [])}
+
+deny contains msg if {
+	some required in required_extensions
+	not required in recommendations_set
+	msg := sprintf(missing_extension_template, [required])
+}

package/policy/text/vscode_extensions/vscode_extensions_test.rego

@@ -0,0 +1,51 @@
+# Тести для `text.vscode_extensions`. Запуск:
+#   conftest verify -p npm/policy/text/vscode_extensions
+package text.vscode_extensions_test
+
+import rego.v1
+
+import data.text.vscode_extensions
+
+canonical := {"recommendations": [
+	"DavidAnson.vscode-markdownlint",
+	"oxc.oxc-vscode",
+	"timonwong.shellcheck",
+]}
+
+test_allow_canonical if {
+	count(vscode_extensions.deny) == 0 with input as canonical
+}
+
+test_allow_with_additional_extensions if {
+	cfg := {"recommendations": [
+		"DavidAnson.vscode-markdownlint",
+		"oxc.oxc-vscode",
+		"timonwong.shellcheck",
+		"dbaeumer.vscode-eslint",
+		"stylelint.vscode-stylelint",
+	]}
+	count(vscode_extensions.deny) == 0 with input as cfg
+}
+
+test_deny_missing_markdownlint if {
+	cfg := {"recommendations": ["oxc.oxc-vscode", "timonwong.shellcheck"]}
+	count(vscode_extensions.deny) > 0 with input as cfg
+}
+
+test_deny_missing_oxc if {
+	cfg := {"recommendations": ["DavidAnson.vscode-markdownlint", "timonwong.shellcheck"]}
+	count(vscode_extensions.deny) > 0 with input as cfg
+}
+
+test_deny_missing_shellcheck if {
+	cfg := {"recommendations": ["DavidAnson.vscode-markdownlint", "oxc.oxc-vscode"]}
+	count(vscode_extensions.deny) > 0 with input as cfg
+}
+
+test_deny_empty_recommendations if {
+	count(vscode_extensions.deny) > 0 with input as {"recommendations": []}
+}
+
+test_deny_no_recommendations_field if {
+	count(vscode_extensions.deny) > 0 with input as {}
+}

package/policy/text/vscode_settings/vscode_settings.rego

@@ -0,0 +1,56 @@
+# Перевірка `.vscode/settings.json` для text (text.mdc).
+#
+# Запуск (локально):
+#   conftest test .vscode/settings.json -p npm/policy/text/vscode_settings \
+#     --namespace text.vscode_settings
+#
+# Canonical (text.mdc):
+#   { "editor.formatOnSave": true,
+#     "[javascript]": { "editor.defaultFormatter": "oxc.oxc-vscode" },
+#     "[typescript]": { "editor.defaultFormatter": "oxc.oxc-vscode" },
+#     "[json]":       { "editor.defaultFormatter": "oxc.oxc-vscode" },
+#     "[vue]":        { "editor.defaultFormatter": "oxc.oxc-vscode" },
+#     "[css]":        { "editor.defaultFormatter": "oxc.oxc-vscode" },
+#     "[html]":       { "editor.defaultFormatter": "oxc.oxc-vscode" } }
+#
+# Структура каталогу збігається зі шляхом пакету (regal: directory-package-mismatch).
+package text.vscode_settings
+
+import rego.v1
+
+language_keys := {"[javascript]", "[typescript]", "[json]", "[vue]", "[css]", "[html]"}
+
+# Шаблони повідомлень — через `concat` для regal style/line-length.
+lang_block_not_object_template := concat(" ", [
+	".vscode/settings.json: %q має бути обʼєктом з",
+	"\"editor.defaultFormatter\": \"oxc.oxc-vscode\" (text.mdc)",
+])
+
+lang_wrong_formatter_template := concat(" ", [
+	".vscode/settings.json: %q має використовувати",
+	"\"oxc.oxc-vscode\" як editor.defaultFormatter (text.mdc)",
+])
+
+# ── deny: editor.formatOnSave ────────────────────────────────────────────
+
+deny contains msg if {
+	object.get(input, "editor.formatOnSave", null) != true
+	msg := ".vscode/settings.json: \"editor.formatOnSave\" має бути true (text.mdc)"
+}
+
+# ── deny: [lang].editor.defaultFormatter ────────────────────────────────
+
+deny contains msg if {
+	some key in language_keys
+	block := object.get(input, key, {})
+	not is_object(block)
+	msg := sprintf(lang_block_not_object_template, [key])
+}
+
+deny contains msg if {
+	some key in language_keys
+	block := object.get(input, key, {})
+	is_object(block)
+	object.get(block, "editor.defaultFormatter", null) != "oxc.oxc-vscode"
+	msg := sprintf(lang_wrong_formatter_template, [key])
+}

package/policy/text/vscode_settings/vscode_settings_test.rego

@@ -0,0 +1,85 @@
+# Тести для `text.vscode_settings`. Запуск:
+#   conftest verify -p npm/policy/text/vscode_settings
+package text.vscode_settings_test
+
+import rego.v1
+
+import data.text.vscode_settings
+
+valid_cfg := {
+	"editor.formatOnSave": true,
+	"[javascript]": {"editor.defaultFormatter": "oxc.oxc-vscode"},
+	"[typescript]": {"editor.defaultFormatter": "oxc.oxc-vscode"},
+	"[json]": {"editor.defaultFormatter": "oxc.oxc-vscode"},
+	"[vue]": {"editor.defaultFormatter": "oxc.oxc-vscode"},
+	"[css]": {"editor.defaultFormatter": "oxc.oxc-vscode"},
+	"[html]": {"editor.defaultFormatter": "oxc.oxc-vscode"},
+}
+
+# ── happy path ────────────────────────────────────────────────────────────
+
+test_allow_canonical if {
+	count(vscode_settings.deny) == 0 with input as valid_cfg
+}
+
+test_allow_with_additional_lang_block if {
+	cfg := json.patch(valid_cfg, [{
+		"op": "add",
+		"path": "/[python]",
+		"value": {"editor.defaultFormatter": "ms-python.python"},
+	}])
+	count(vscode_settings.deny) == 0 with input as cfg
+}
+
+# ── deny: editor.formatOnSave ────────────────────────────────────────────
+
+test_deny_format_on_save_false if {
+	cfg := json.patch(valid_cfg, [{"op": "replace", "path": "/editor.formatOnSave", "value": false}])
+	count(vscode_settings.deny) > 0 with input as cfg
+}
+
+test_deny_format_on_save_missing if {
+	cfg := json.patch(valid_cfg, [{"op": "remove", "path": "/editor.formatOnSave"}])
+	count(vscode_settings.deny) > 0 with input as cfg
+}
+
+# ── deny: lang formatters (per-key) ──────────────────────────────────────
+
+test_deny_javascript_missing if {
+	cfg := json.patch(valid_cfg, [{"op": "remove", "path": "/[javascript]"}])
+	count(vscode_settings.deny) > 0 with input as cfg
+}
+
+test_deny_typescript_wrong_formatter if {
+	cfg := json.patch(
+		valid_cfg,
+		[{"op": "replace", "path": "/[typescript]/editor.defaultFormatter", "value": "prettier"}],
+	)
+	count(vscode_settings.deny) > 0 with input as cfg
+}
+
+test_deny_json_block_not_object if {
+	cfg := json.patch(valid_cfg, [{"op": "replace", "path": "/[json]", "value": "oxc.oxc-vscode"}])
+	count(vscode_settings.deny) > 0 with input as cfg
+}
+
+test_deny_vue_missing_default_formatter if {
+	cfg := json.patch(valid_cfg, [{"op": "replace", "path": "/[vue]", "value": {"editor.tabSize": 2}}])
+	count(vscode_settings.deny) > 0 with input as cfg
+}
+
+test_deny_css_missing if {
+	cfg := json.patch(valid_cfg, [{"op": "remove", "path": "/[css]"}])
+	count(vscode_settings.deny) > 0 with input as cfg
+}
+
+test_deny_html_missing if {
+	cfg := json.patch(valid_cfg, [{"op": "remove", "path": "/[html]"}])
+	count(vscode_settings.deny) > 0 with input as cfg
+}
+
+# ── deny: empty object ───────────────────────────────────────────────────
+
+test_deny_empty_object if {
+	count(vscode_settings.deny) > 0 with input as {}
+}

package/scripts/check-text.mjs

@@ -89,70 +89,11 @@ async function checkV8rIgnore(passFn, failFn) {
   }
 }
 
-/**
- * Перевіряє VSCode extensions.json для текстового стека.
- * @param {(msg: string) => void} passFn callback при успішній перевірці
- * @param {(msg: string) => void} failFn callback при помилці
- */
-async function checkVscodeTextExtensions(passFn, failFn) {
-  if (!existsSync('.vscode/extensions.json')) {
-    failFn('.vscode/extensions.json не існує — створи з recommendations згідно n-text.mdc')
-    return
-  }
-  try {
-    const ext = JSON.parse(await readFile('.vscode/extensions.json', 'utf8'))
-    const rec = ext.recommendations
-    for (const id of ['DavidAnson.vscode-markdownlint', 'oxc.oxc-vscode', 'timonwong.shellcheck']) {
-      if (Array.isArray(rec) && rec.includes(id)) {
-        passFn(`extensions.json містить ${id}`)
-      } else {
-        failFn(`extensions.json: додай "${id}" у recommendations (див. n-text.mdc)`)
-      }
-    }
-  } catch {
-    failFn('.vscode/extensions.json — невалідний JSON')
-  }
-}
-
-/**
- * Перевіряє VSCode settings.json для текстового стека.
- * @param {(msg: string) => void} passFn callback при успішній перевірці
- * @param {(msg: string) => void} failFn callback при помилці
- */
-async function checkVscodeTextSettings(passFn, failFn) {
-  if (!existsSync('.vscode/settings.json')) {
-    failFn('.vscode/settings.json не існує — створи згідно n-text.mdc')
-    return
-  }
-  try {
-    const settings = JSON.parse(await readFile('.vscode/settings.json', 'utf8'))
-    if (settings['editor.formatOnSave'] === true) {
-      passFn('settings.json: editor.formatOnSave увімкнено')
-    } else {
-      failFn('settings.json: editor.formatOnSave має бути true')
-    }
-    for (const t of ['javascript', 'typescript', 'json', 'vue', 'css', 'html']) {
-      const key = `[${t}]`
-      if (settings[key]?.['editor.defaultFormatter'] === 'oxc.oxc-vscode') {
-        passFn(`settings.json: ${key} використовує oxc.oxc-vscode`)
-      } else {
-        failFn(`settings.json: ${key} має використовувати oxc.oxc-vscode як defaultFormatter`)
-      }
-    }
-  } catch {
-    failFn('.vscode/settings.json — невалідний JSON')
-  }
-}
-
-/**
- * Перевіряє VSCode extensions.json та settings.json для текстового стека.
- * @param {(msg: string) => void} passFn callback при успішній перевірці
- * @param {(msg: string) => void} failFn callback при помилці
- */
-async function checkVscodeText(passFn, failFn) {
-  await checkVscodeTextExtensions(passFn, failFn)
-  await checkVscodeTextSettings(passFn, failFn)
-}
+// `.vscode/extensions.json` (`DavidAnson.vscode-markdownlint`, `oxc.oxc-vscode`,
+// `timonwong.shellcheck`) і `.vscode/settings.json` (`editor.formatOnSave` +
+// `[lang].editor.defaultFormatter`) валідують rego-пакети `text.vscode_extensions`
+// і `text.vscode_settings` (зареєстровані глобально у `lint-conftest.mjs` TARGETS
+// з `rule: 'text'`). FS-existence файлів — у `checkTextConfigsExistence`.
 
 /**
  * FS-existence стек текстових конфігів. Контент-валідація — у Rego
@@ -165,7 +106,9 @@ function checkTextConfigsExistence(passFn, failFn) {
   for (const [path, mdcRef] of [
     ['.oxfmtrc.json', 'text.oxfmtrc'],
     ['.cspell.json', 'text.cspell'],
-    ['.markdownlint-cli2.jsonc', 'text.markdownlint']
+    ['.markdownlint-cli2.jsonc', 'text.markdownlint'],
+    ['.vscode/extensions.json', 'text.vscode_extensions'],
+    ['.vscode/settings.json', 'text.vscode_settings']
   ]) {
     if (existsSync(path)) {
       passFn(`${path} є (структуру перевіряє bun run lint-conftest → ${mdcRef})`)
@@ -247,7 +190,6 @@ export async function check() {
   const { pass, fail } = reporter
 
   await checkV8rIgnore(pass, fail)
-  await checkVscodeText(pass, fail)
   await checkTextConfigsExistence(pass, fail)
 
   for (const f of ['.prettierrc', '.prettierrc.json', '.prettierrc.js', 'prettier.config.js', '.prettierrc.yml']) {

package/scripts/lint-conftest.mjs

@@ -103,6 +103,8 @@ const TARGETS = [
   { namespace: 'text.cspell', policyDir: 'text', rule: 'text', single: '.cspell.json' },
   { namespace: 'text.markdownlint', policyDir: 'text', rule: 'text', single: '.markdownlint-cli2.jsonc' },
   { namespace: 'text.package_json', policyDir: 'text', rule: 'text', single: 'package.json' },
+  { namespace: 'text.vscode_extensions', policyDir: 'text', rule: 'text', single: '.vscode/extensions.json' },
+  { namespace: 'text.vscode_settings', policyDir: 'text', rule: 'text', single: '.vscode/settings.json' },
 
   // ── style-lint ──────────────────────────────────────────────────────────
   { namespace: 'style_lint.package_json', policyDir: 'style_lint', rule: 'style-lint', single: 'package.json' },
@@ -134,6 +136,15 @@ const TARGETS = [
     single: '.github/workflows/lint-php.yml'
   },
 
+  // ── docker ──────────────────────────────────────────────────────────────
+  { namespace: 'docker.package_json', policyDir: 'docker', rule: 'docker', single: 'package.json' },
+  {
+    namespace: 'docker.lint_docker_yml',
+    policyDir: 'docker',
+    rule: 'docker',
+    single: '.github/workflows/lint-docker.yml'
+  },
+
   // ── npm-module ──────────────────────────────────────────────────────────
   {
     namespace: 'npm_module.root_package_json',