@nitra/cursor 12.11.0 → 12.11.1

package/CHANGELOG.md

@@ -1,5 +1,11 @@
 # Changelog
 
+## [12.11.1] - 2026-06-25
+
+### Changed
+
+- ♻️ refactor(scripts): T0-autofix контракт fix-<concern>.mjs — нова конвенція в scripts.mdc
+
 ## [12.11.0] - 2026-06-25
 
 ### Changed

package/bin/n-cursor.js

@@ -64,7 +64,7 @@
 import { spawnSync } from 'node:child_process'
 import { existsSync } from 'node:fs'
 import { mkdir, readdir, readFile, rename, rm, unlink, writeFile } from 'node:fs/promises'
-import { basename, dirname, join } from 'node:path'
+import { basename, dirname, join, resolve } from 'node:path'
 import { cwd, env } from 'node:process'
 import { fileURLToPath } from 'node:url'
 
@@ -1457,7 +1457,7 @@ async function runSync() {
  * `--root`-команди `doc-aggregate`/`rename-yaml-extensions`,
  * sub-лінтери) гард не зачіпає.
  */
-const ROOT_GUARDED_COMMANDS = new Set([undefined, '', 'lint', 'coverage', 'change', 'release'])
+const ROOT_GUARDED_COMMANDS = new Set([undefined, '', 'lint', 'change', 'release'])
 
 /**
  * Короткий опис дії для тексту root-guard помилки за іменем команди.
@@ -1473,9 +1473,6 @@ function describeRootGuardedAction(cmd) {
     case 'lint': {
       return '`lint` за замовчуванням авто-fix лінтерів (oxfmt/eslint --fix/stylelint --fix) і конформності (--full) у поточному каталозі'
     }
-    case 'coverage': {
-      return '`coverage` генерує COVERAGE.md і Stryker-артефакти в поточному каталозі'
-    }
     case 'change': {
       return '`change` пише change-файл у .changes/ поточного каталогу'
     }
@@ -1493,7 +1490,7 @@ const [command, ...args] = process.argv.slice(2)
 
 try {
   // Root-guard до перших мутацій: дефолтний sync скаффолдить .cursor/.claude/CLAUDE.md/
-  // .n-cursor.json + bun install, а fix/lint/coverage/change/release переписують файли в CWD —
+  // .n-cursor.json + bun install, а lint/change/release переписують файли в CWD —
   // усе це ключиться на cwd(). Запуск із піддиректорії git-репо (типово прямий
   // `bun npm/bin/n-cursor.js` не з кореня) зачепив би не той каталог → STOP. Read-only та
   // `--root`-команди (trace, graph, doc-aggregate, rename-yaml-extensions) не зачіпаємо.
@@ -1523,33 +1520,18 @@ try {
       // Дві ортогональні осі: --full (scope: весь репо vs дельта vs origin) × --read-only (behavior).
       // Позиційні (не-флаг) аргументи — фільтр правил конформності (напр. `lint changelog`):
       // прогнати лише конформність цих правил, без лінтер-скану (мапить колишній `fix <rule>`).
-      const rules = args.filter(a => !a.startsWith('-'))
+      const cwdIdx = args.indexOf('--cwd')
+      const cwdArg = cwdIdx !== -1 ? resolve(args[cwdIdx + 1]) : undefined
+      const rules = args.filter((a, i) => !a.startsWith('-') && i !== cwdIdx + 1)
       process.exitCode = await runLint({
         full: args.includes('--full'),
         readOnly: args.includes('--read-only'),
-        rules
+        rules,
+        cwd: cwdArg
       })
 
       break
     }
-    case 'coverage': {
-      // n-cursor coverage — оркестратор покриття + мутаційного тестування з discovery
-      // провайдерів через .n-cursor.json#rules (test.mdc). --changed звужує scope до
-      // змінених від base файлів (flow-турнікет: лише vitest/Stryker по diff).
-      const { runCoverageCli } = await import('../rules/test/coverage/coverage.mjs')
-      process.exitCode = await runCoverageCli({ fix: args.includes('--fix'), changed: args.includes('--changed') })
-
-      break
-    }
-    case 'coverage-fix': {
-      // n-cursor coverage-fix index|slice — read-only витяг вцілілих мутантів із
-      // COVERAGE.md для скілу n-coverage-fix. Важкий парсинг несе скрипт (0 LLM-
-      // токенів); агент отримує лише компактний index або зріз під один файл.
-      const { runCoverageFixCli } = await import('../scripts/coverage-fix-extract.mjs')
-      process.exitCode = await runCoverageFixCli(args)
-
-      break
-    }
     case 'analyze-escalation': {
       // n-cursor analyze-escalation — читає весь escalation-лог (.n-cursor/fix-escalation.jsonl),
       // чанкує й просить хмарну avg-модель запропонувати, як зменшити LLM-залежність fix-
@@ -1634,7 +1616,7 @@ try {
     default: {
       console.error(`❌ Невідома команда: ${command}`)
       console.error(
-        `   Очікується: (без аргументів) синхронізація правил, rename-yaml-extensions, hook, adr-normalize-local, lint (включно зі scope: lint ga|rego|k8s|docker|text), coverage, coverage-fix, analyze-escalation, taze, start-check, release, skill, trace, doc-aggregate`
+        `   Очікується: (без аргументів) синхронізація правил, rename-yaml-extensions, hook, adr-normalize-local, lint (включно зі scope: lint ga|rego|k8s|docker|text), analyze-escalation, taze, start-check, release, skill, trace, doc-aggregate`
       )
       process.exitCode = 1
     }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nitra/cursor",
-  "version": "12.11.0",
+  "version": "12.11.1",
   "description": "CLI для завантаження cursor-правил (префікс n-) у локальний репозиторій",
   "keywords": [
     "cli",

package/rules/changelog/js/docs/consistency.md

@@ -8,8 +8,6 @@ docgen:
   score: 95
 ---
 
-## Огляд
-
 Модуль сканує монорепозиторій, ідентифікує проєкти та порівнює їхні версії з даними, отриманими з https://pypi.org/pypi/, для верифікації відповідності версій. Для проєктів, що не призначені для публікації, виконуються локальні перевірки на відповідність файлу `CHANGELOG.md` конфігурації, визначеній у res.json.
 
 ## Поведінка
@@ -19,18 +17,18 @@ docgen:
 3. `check` знаходить усі кореневі каталоги проєктів у монорепозиторії.
 4. `check` класифікує знайдені проєкти на ті, що можуть бути опубліковані в реєстрі, та ті, що є локальними.
 5. Для кожного проєкту, що може бути опублікованим, `check` перевіряє його відповідність вимогам:
-    а. Перевіряє наявність файлу `CHANGELOG.md`.
-    б. Перевіряє базовий формат `CHANGELOG.md` на наявність заголовка `# Changelog`.
-    в. Якщо проєкт має поле `version` у маніфесті, `check` порівнює його з опублікованою версією, отриманою через мережевий запит до https://pypi.org/pypi/ або `npm view`.
-    г. Якщо версія у проєкті випереджає опубліковану, `check` повідомляє про заборонений ручний bump.
-    д. Якщо версія у проєкті відстає від опублікованої, `check` повідомляє про відставання локальної копії від реєстру.
-    е. Якщо версії збігаються, `check` перевіряє, чи є незрелі зміни у проєкті відносно базового релізу.
-    ж. Якщо проєкт має незрелі зміни, `check` перевіряє наявність change-файлу. Якщо його немає, `check` або повідомляє про необхідність створити його (якщо не в режимі autofix), або автоматично створює його та додає до індексу.
+   а. Перевіряє наявність файлу `CHANGELOG.md`.
+   б. Перевіряє базовий формат `CHANGELOG.md` на наявність заголовка `# Changelog`.
+   в. Якщо проєкт має поле `version` у маніфесті, `check` порівнює його з опублікованою версією, отриманою через мережевий запит до https://pypi.org/pypi/ або `npm view`.
+   г. Якщо версія у проєкті випереджає опубліковану, `check` повідомляє про заборонений ручний bump.
+   д. Якщо версія у проєкті відстає від опублікованої, `check` повідомляє про відставання локальної копії від реєстру.
+   е. Якщо версії збігаються, `check` перевіряє, чи є незрелі зміни у проєкті відносно базового релізу.
+   ж. Якщо проєкт має незрелі зміни, `check` перевіряє наявність change-файлу. Якщо його немає, `check` або повідомляє про необхідність створити його (якщо не в режимі autofix), або автоматично створює його та додає до індексу.
 6. `check` виконує локальні перевірки для проєктів, які не призначені для публікації:
-    а. Для кожного локального проєкту `check` перевіряє наявність файлу `CHANGELOG.md` та його формат.
-    б. `check` визначає точку порівняння (базу) на основі поточної гілки.
-    в. `check` перевіряє, чи є релевантні зміни у проєкті відносно цієї бази.
-    г. Якщо зміни є, `check` перевіряє наявність change-файлу. Якщо його немає, `check` або повідомляє про необхідність створити його (якщо не в режимі autofix), або автоматично створює його та додає до індексу.
+   а. Для кожного локального проєкту `check` перевіряє наявність файлу `CHANGELOG.md` та його формат.
+   б. `check` визначає точку порівняння (базу) на основі поточної гілки.
+   в. `check` перевіряє, чи є релевантні зміни у проєкті відносно цієї бази.
+   г. Якщо зміни є, `check` перевіряє наявність change-файлу. Якщо його немає, `check` або повідомляє про необхідність створити його (якщо не в режимі autofix), або автоматично створює його та додає до індексу.
 7. `check` повертає кінцевий код завершення, що відображає результати всіх перевірок.
 
 ## Гарантії поведінки

package/rules/ga/policy/workflow_common/workflow_common.rego

@@ -127,6 +127,21 @@ deny contains msg if {
 	msg := sprintf(setup_bun_no_checkout_template, [job_id])
 }
 
+# ── deny: actions/checkout без persist-credentials: false ─────────────────
+#
+# `persist-credentials: false` запобігає кешуванню git-токена після checkout,
+# що є обов'язковою вимогою безпеки (ga.mdc).
+
+deny contains msg if {
+	some _job_id, job in jobs
+	some step in object.get(job, "steps", [])
+	uses := object.get(step, "uses", "")
+	startswith(uses, "actions/checkout@")
+	creds := object.get(object.get(step, "with", {}), "persist-credentials", true)
+	creds != false
+	msg := sprintf("jobs.%s: actions/checkout@v6 потребує `with: persist-credentials: false` (ga.mdc)", [_job_id])
+}
+
 # ── deny: concurrency блок ─────────────────────────────────────────────────
 #
 # Дублює окремі per-workflow перевірки для clean-ga-workflows / clean-merged-branch /

package/rules/k8s/policy/lint_k8s_yml/lint_k8s_yml.rego

@@ -0,0 +1,57 @@
+# Перевірка `.github/workflows/lint-k8s.yml` (k8s.mdc).
+#
+# Канон надходить через --data: { "template": { "snippet": ... } }
+# Структура --data сформована з template/lint-k8s.yml.snippet.yml.
+# Перевіряємо (drift-safe — усе ведеться з template, без inline-літералів):
+#   - кожен `uses` з template: actions/checkout@v6, setup-bun-deps;
+#   - кожен `run` з template (як substring): install kubeconform, kubescape,
+#     n-cursor lint k8s --read-only.
+# Універсальні workflow-перевірки (name, concurrency, branches,
+# persist-credentials) — у `ga.workflow_common`.
+package k8s.lint_k8s_yml
+
+import rego.v1
+
+# Усі `uses` з канону workflow (по всіх job'ах template).
+expected_uses contains u if {
+	some job in data.template.snippet.jobs
+	some step in job.steps
+	u := object.get(step, "uses", "")
+	u != ""
+}
+
+# Усі `uses` з input workflow.
+actual_uses contains u if {
+	some job in object.get(input, "jobs", {})
+	some step in object.get(job, "steps", [])
+	u := object.get(step, "uses", "")
+	u != ""
+}
+
+# Конкатенація всіх `run`-кроків з input workflow.
+all_run_text := concat("\n", [run_text |
+	some job in object.get(input, "jobs", {})
+	some step in object.get(job, "steps", [])
+	run_text := step_run_to_text(step)
+])
+
+deny contains msg if {
+	some required_use in expected_uses
+	not required_use in actual_uses
+	msg := sprintf("lint-k8s.yml: відсутній step з `uses: %s` (k8s.mdc)", [required_use])
+}
+
+deny contains msg if {
+	some job in data.template.snippet.jobs
+	some step in job.steps
+	expected_run := object.get(step, "run", "")
+	expected_run != ""
+	not contains(all_run_text, expected_run)
+	msg := sprintf("lint-k8s.yml: жоден крок run не містить %q (k8s.mdc)", [expected_run])
+}
+
+step_run_to_text(step) := step.run if is_string(step.run)
+
+else := concat("\n", [s | some s in step.run]) if is_array(step.run)
+
+else := ""

package/rules/k8s/policy/lint_k8s_yml/target.json

@@ -0,0 +1,4 @@
+{
+  "$schema": "https://unpkg.com/@nitra/cursor/schemas/target.json",
+  "files": { "single": ".github/workflows/lint-k8s.yml" }
+}

package/rules/k8s/policy/lint_k8s_yml/template/lint-k8s.yml.snippet.yml

@@ -0,0 +1,43 @@
+name: Lint K8s
+
+on:
+  push:
+    branches:
+      - dev
+      - main
+    paths:
+      - '**/k8s/**/*.yaml'
+
+  pull_request:
+    branches:
+      - dev
+      - main
+
+concurrency:
+  group: ${{ github.ref }}-${{ github.workflow }}
+  cancel-in-progress: true
+
+jobs:
+  lint-k8s:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+    steps:
+      - uses: actions/checkout@v6
+        with:
+          persist-credentials: false
+
+      - uses: ./.github/actions/setup-bun-deps
+
+      - name: Install kubeconform
+        run: |
+          curl -sSL "https://github.com/yannh/kubeconform/releases/download/v0.7.0/kubeconform-linux-amd64.tar.gz" | tar xz
+          sudo mv kubeconform /usr/local/bin/
+
+      - name: Install kubescape
+        run: |
+          curl -s https://raw.githubusercontent.com/kubescape/kubescape/master/install.sh | /bin/bash
+          echo "$HOME/.kubescape/bin" >> $GITHUB_PATH
+
+      - name: Lint K8s
+        run: n-cursor lint k8s --read-only

package/scripts/lib/fix/llm-fix-apply.mjs

@@ -3,8 +3,9 @@
  * під фікс і застосування змін. Використовують і `llm-worker.mjs` (конформність), і
  * `llm-lint-fix.mjs` (per-tool лінтер-фіксери) — щоб не дублювати парс/apply (knip/jscpd).
  */
+import { execSync } from 'node:child_process'
 import { existsSync, mkdirSync, readFileSync, writeFileSync } from 'node:fs'
-import { dirname, join } from 'node:path'
+import { basename, dirname, join } from 'node:path'
 
 const JSON_CODE_BLOCK_RE = /```(?:json)?[ \t]{0,8}\n?([\s\S]*?)```/
 
@@ -39,8 +40,30 @@ export function parseChangesResponse(text) {
   return null
 }
 
+/**
+ * Шукає файл за basename у дереві проєкту (fallback коли прямий шлях не існує).
+ * Повертає відносний шлях якщо знайдено рівно один матч, інакше `null` (ambiguous/not found).
+ * @param {string} name basename файлу
+ * @param {string} projectRoot абсолютний корінь
+ * @returns {string|null} відносний шлях або null
+ */
+function findByBasename(name, projectRoot) {
+  try {
+    const raw = execSync(
+      `find . -maxdepth 7 -name '${name.replace(/'/g, "'\\''")}' -not -path '*/node_modules/*' -not -path '*/.git/*' -not -path '*/.worktrees/*'`,
+      { cwd: projectRoot, encoding: 'utf8', timeout: 3000 }
+    ).trim()
+    const hits = raw.split('\n').filter(Boolean)
+    return hits.length === 1 ? hits[0].replace(/^\.\//, '') : null
+  } catch {
+    return null
+  }
+}
+
 /**
  * Читає існуючі файли за відносними шляхами у форму `{path, content}` (для prompt).
+ * Якщо файл не знайдений за прямим шляхом — намагається знайти за basename через `find`.
+ * Повертає resolved path (може відрізнятись від вхідного коли `find` знайшов реальне місце).
  * @param {string[]} filePaths відносні шляхи від кореня
  * @param {string} projectRoot абсолютний корінь
  * @returns {Array<{path:string, content:string}>} наявні файли з вмістом
@@ -48,10 +71,18 @@ export function parseChangesResponse(text) {
 export function readFilesForFix(filePaths, projectRoot) {
   return filePaths
     .map(p => {
-      const abs = join(projectRoot, p)
+      let abs = join(projectRoot, p)
+      let resolvedPath = p
+      if (!existsSync(abs)) {
+        const found = findByBasename(basename(p), projectRoot)
+        if (found) {
+          resolvedPath = found
+          abs = join(projectRoot, found)
+        }
+      }
       if (!existsSync(abs)) return null
       try {
-        return { path: p, content: readFileSync(abs, 'utf8') }
+        return { path: resolvedPath, content: readFileSync(abs, 'utf8') }
       } catch {
         return null
       }

package/scripts/lib/fix/llm-worker.mjs

@@ -18,35 +18,44 @@ const DEFAULT_THINKING_BUDGET = Number(env.N_CURSOR_OMLX_THINKING_BUDGET ?? 4096
 
 const API_KEY_RE = /api key/i
 
+const FILE_EXTS = 'json|js|mjs|ts|vue|yml|yaml|toml|mdc|md|sh|py'
+
 /**
  * Витягує відносні шляхи файлів із violation output.
  * Розуміє workspace-prefix: `[npm] skills/foo.mjs` → `npm/skills/foo.mjs`.
+ * Спочатку явно парсить рядки ❌ (найвищий сигнал — файл потребує фіксу),
+ * потім підхоплює решту файлів generic-regex (контекст для читання).
  * @param {string} output violation output з fix check
  * @returns {string[]} унікальні відносні шляхи (від кореня проєкту)
  */
-function extractFilePaths(output) {
+export function extractFilePaths(output) {
   const seen = new Set()
   const results = []
-
-  // Патерн з workspace: [npm] skills/foo.mjs або [demo] src/bar.ts
-  const wsRe = /\[([\w-]+)\]\s+([\w./][\w./-]*\.(?:json|js|mjs|ts|vue|yml|yaml|toml|mdc|md|sh|py))(?::\d+)?/gm
-  for (const m of output.matchAll(wsRe)) {
-    const p = `${m[1]}/${m[2]}`
+  const add = p => {
     if (!seen.has(p)) {
       seen.add(p)
       results.push(p)
     }
   }
 
-  // Патерн без workspace: просто path/to/file.ext або ./file.ext
-  const re = /(?:^|\s)(\.?\w[\w./-]*\.(?:json|js|mjs|ts|vue|yml|yaml|toml|mdc|md|sh|py))(?::\d+)?/gm
-  for (const m of output.matchAll(re)) {
-    const p = m[1]
-    if (!seen.has(p)) {
-      seen.add(p)
-      results.push(p)
-    }
-  }
+  // 1. Явні рядки ❌ — найвищий сигнал: саме ці файли потребують фіксу.
+  //    Формати: `❌ [ws] path/file.ext:line — msg` та `❌ path/file.ext: msg`
+  //    Роздільник після шляху: `:` (з пробілом або цифрою), `—` (em-dash), або кінець рядка.
+  const failSep = `(?::\\d+)?(?::\\s|[\\s—]|$)`
+  const failWsRe = new RegExp(`^\\s*❌\\s+\\[([\\w-]+)\\]\\s+([\\w./][\\w./-]*\\.(?:${FILE_EXTS}))${failSep}`, 'gm')
+  for (const m of output.matchAll(failWsRe)) add(`${m[1]}/${m[2]}`)
+
+  const failRe = new RegExp(`^\\s*❌\\s+(\\.?[\\w][\\w./-]*\\.(?:${FILE_EXTS}))${failSep}`, 'gm')
+  for (const m of output.matchAll(failRe)) add(m[1])
+
+  // 2. Generic-regex: підхоплює файли з ✅-рядків та описів (контекст для читання).
+  //    Workspace: [npm] skills/foo.mjs
+  const wsRe = new RegExp(`\\[([\\w-]+)\\]\\s+([\\w./][\\w./-]*\\.(?:${FILE_EXTS}))(?::\\d+)?`, 'gm')
+  for (const m of output.matchAll(wsRe)) add(`${m[1]}/${m[2]}`)
+
+  //    Без workspace: path/to/file.ext або ./file.ext
+  const re = new RegExp(`(?:^|\\s)(\\.?\\w[\\w./-]*\\.(?:${FILE_EXTS}))(?::\\d+)?`, 'gm')
+  for (const m of output.matchAll(re)) add(m[1])
 
   return results
 }

package/scripts/lib/fix/t0.mjs

@@ -1,6 +1,6 @@
 /** @see ./docs/t0.md */
 import { spawnSync } from 'node:child_process'
-import { existsSync, readFileSync, rmSync, writeFileSync } from 'node:fs'
+import { appendFileSync, existsSync, readFileSync, rmSync, writeFileSync } from 'node:fs'
 import { join } from 'node:path'
 
 import { runConformanceCheck } from './run-conformance-check.mjs'
@@ -116,6 +116,121 @@ const PATTERNS = [
       }
       return { ok: true, action: `створено change-файл (${CHANGE_BUMP}/${CHANGE_SECTION}): ${created.join(', ')}` }
     }
+  },
+
+  // ── bun-bunfig-create ────────────────────────────────────────────────────────
+  // Violation: «Відсутній bunfig.toml — створи з [install] linker = "hoisted"»
+  // Fix: створити bunfig.toml з канонічним вмістом (bun.mdc)
+  {
+    id: 'bun-bunfig-create',
+    test: out => /Відсутній bunfig\.toml/.test(out),
+    apply: (_out, cwd) => {
+      const target = join(cwd, 'bunfig.toml')
+      if (existsSync(target)) return { ok: false, action: 'bunfig.toml вже існує' }
+      writeFileSync(target, '[install]\nlinker = "hoisted"\n', 'utf8')
+      return { ok: true, action: 'створено bunfig.toml' }
+    }
+  },
+
+  // ── bun-yarn-dir-remove ──────────────────────────────────────────────────────
+  // Violation: «Знайдено директорію .yarn — видали її»
+  // Fix: рекурсивно видалити .yarn/
+  {
+    id: 'bun-yarn-dir-remove',
+    test: out => /Знайдено директорію \.yarn/.test(out),
+    apply: (_out, cwd) => {
+      const target = join(cwd, '.yarn')
+      if (!existsSync(target)) return { ok: false, action: '.yarn не знайдено' }
+      rmSync(target, { recursive: true, force: true })
+      return { ok: true, action: 'видалено .yarn/' }
+    }
+  },
+
+  // ── style-stylelintignore-create ─────────────────────────────────────────────
+  // Violation: «.stylelintignore не існує — створи з вмістом: dist/»
+  // Fix: створити .stylelintignore з рядком dist/
+  {
+    id: 'style-stylelintignore-create',
+    test: out => /\.stylelintignore не існує/.test(out),
+    apply: (_out, cwd) => {
+      writeFileSync(join(cwd, '.stylelintignore'), 'dist/\n', 'utf8')
+      return { ok: true, action: 'створено .stylelintignore' }
+    }
+  },
+
+  // ── style-stylelintignore-dist-add ───────────────────────────────────────────
+  // Violation: «.stylelintignore не містить рядка dist/»
+  // Fix: дописати dist/ до існуючого .stylelintignore
+  {
+    id: 'style-stylelintignore-dist-add',
+    test: out => /\.stylelintignore не містить рядка dist\//.test(out),
+    apply: (_out, cwd) => {
+      const target = join(cwd, '.stylelintignore')
+      appendFileSync(target, '\ndist/\n', 'utf8')
+      return { ok: true, action: 'додано dist/ до .stylelintignore' }
+    }
+  },
+
+  // ── style-pkg-stylelint-add ──────────────────────────────────────────────────
+  // Violation: «Немає конфігу stylelint — додай "stylelint": {...} до package.json»
+  // Fix: додати поле stylelint до кореневого package.json
+  {
+    id: 'style-pkg-stylelint-add',
+    test: out => /Немає конфігу stylelint/.test(out),
+    apply: (_out, cwd) => {
+      const pkgPath = join(cwd, 'package.json')
+      if (!existsSync(pkgPath)) return { ok: false, action: 'package.json не знайдено' }
+      let pkg
+      try {
+        pkg = JSON.parse(readFileSync(pkgPath, 'utf8'))
+      } catch {
+        return { ok: false, action: 'package.json: невалідний JSON' }
+      }
+      if (pkg.stylelint) return { ok: false, action: 'stylelint вже є в package.json' }
+      pkg.stylelint = { extends: '@nitra/stylelint-config' }
+      writeFileSync(pkgPath, JSON.stringify(pkg, null, 2) + '\n', 'utf8')
+      return { ok: true, action: 'додано stylelint до package.json' }
+    }
+  },
+
+  // ── js-run-jsconfig-create ───────────────────────────────────────────────────
+  // Violation: «[packages/api] є каталог src/, але немає jsconfig.json»
+  // Fix: для кожного воркспейсу з violation створити канонічний jsconfig.json
+  // (NodeNext + include: src/**/*; шаблон: js-run/policy/jsconfig/template/)
+  {
+    id: 'js-run-jsconfig-create',
+    test: out => /є каталог src\/, але немає jsconfig\.json/.test(out),
+    apply: (out, cwd) => {
+      const RE = /\[([^\]]+)\] є каталог src\/, але немає jsconfig\.json/gu
+      const matches = [...out.matchAll(RE)]
+      if (matches.length === 0) return { ok: false, action: 'no match' }
+      const canonical =
+        JSON.stringify(
+          {
+            compilerOptions: {
+              lib: ['esnext'],
+              module: 'NodeNext',
+              moduleResolution: 'NodeNext',
+              target: 'esnext',
+              checkJs: false
+            },
+            include: ['src/**/*']
+          },
+          null,
+          2
+        ) + '\n'
+      const created = []
+      for (const m of matches) {
+        const ws = m[1]
+        const target = join(cwd, ws, 'jsconfig.json')
+        if (!existsSync(target)) {
+          writeFileSync(target, canonical, 'utf8')
+          created.push(ws)
+        }
+      }
+      if (created.length === 0) return { ok: false, action: 'jsconfig.json вже існує в усіх воркспейсах' }
+      return { ok: true, action: `створено jsconfig.json: ${created.join(', ')}` }
+    }
   }
 ]