@nitra/cursor 12.6.1 → 12.8.0

package/rules/php/lint/docs/lint.md

@@ -1,219 +0,0 @@
----
-type: JS Module
-title: lint.mjs
-resource: npm/rules/php/lint/lint.mjs
-docgen:
-  crc: cafd914f
----
-
-Модуль `lint.mjs` реалізує крок `lint-php` згідно з правилом `php.mdc`. Він виконує статичний та безпековий аналіз PHP-проєкту, який лежить у поточному робочому каталозі (`process.cwd()`), послідовно прогоняючи такі інструменти:
-
-1. `composer audit --no-interaction` — обовʼязковий аудит залежностей через Composer.
-2. `vendor/bin/php-cs-fixer fix --dry-run --diff` — перевірка стилю без модифікації файлів.
-3. `vendor/bin/phpcs --standard=Security ...` — перевірка зі стандартом Security для типових директорій коду.
-4. `vendor/bin/phpstan analyse --no-progress` — статичний аналіз.
-5. `vendor/bin/psalm --no-cache` — додатковий статичний аналіз.
-
-Ключові властивості модуля:
-
-- Якщо в корені репозиторію **немає** `composer.json` — скрипт нічого не запускає й завершується успіхом (`pass` + код виходу 0).
-- Якщо `composer.json` є, але `composer` недоступний у `PATH` — це фатальна помилка (`fail`).
-- Інструменти з `vendor/bin/*` запускаються лише за наявності відповідного бінарника; відсутній інструмент **не** є помилкою, лише пропускається з відповідним `pass`-повідомленням.
-- Помилка будь-якого запущеного інструмента (ненульовий exit code) призводить до негайного завершення з кодом помилки — наступні кроки **не** виконуються (fail-fast).
-- Результат акумулюється через `createCheckReporter()`, а підсумковий код виходу дає `reporter.getExitCode()`.
-
-Файл одночасно є модулем (з експортами для повторного використання й тестування) та CLI-точкою входу (через `isRunAsCli(import.meta.url)`).
-
-## Експорти / API
-
-Модуль експортує дві функції:
-
-- `getPhpcsCodePaths(root: string): string[]` — обчислює список директорій для PHPCS.
-- `run(): number` — основна точка входу; повертає код виходу (0 — OK, 1 — є помилки).
-
-Функції `vendorBin`, `runTool` і вкладена `runOptionalVendorTool` є приватними (не експортуються) і використовуються тільки всередині модуля.
-
-Коли модуль виконується безпосередньо як CLI (через `node` чи `bun`), у блоці `if (isRunAsCli(import.meta.url))` викликається `run()`, а результат присвоюється `process.exitCode`.
-
-## Функції
-
-### `getPhpcsCodePaths(root)`
-
-Сигнатура: `getPhpcsCodePaths(root: string): string[]`
-
-Параметри:
-
-- `root` — абсолютний шлях до кореня репозиторію.
-
-Повертає: масив відносних шляхів (рядків) до директорій, які варто передати у `phpcs`.
-
-Алгоритм:
-
-1. Перебирає константу `PHPCS_CODE_DIR_CANDIDATES = ['app', 'src', 'lib', 'public', 'www']`.
-2. Для кожного імені `d` будує абсолютний шлях `join(root, d)` і перевіряє, що шлях існує **і** є директорією (`existsSync` + `statSync(...).isDirectory()`).
-3. Якщо знайдено хоча б одну директорію — повертає масив усіх знайдених імен (як **відносні** імена, не абсолютні шляхи).
-4. Якщо жодної не знайдено — повертає `['.']` (тобто PHPCS буде запущений по всьому кореню).
-
-Side effects: лише читання файлової системи через `existsSync`/`statSync`. Файлів не модифікує.
-
-### `vendorBin(root, name)` (private)
-
-Сигнатура: `vendorBin(root: string, name: string): string | null`
-
-Параметри:
-
-- `root` — корінь репозиторію.
-- `name` — імʼя файла у `vendor/bin` (наприклад, `phpstan`).
-
-Повертає: абсолютний шлях `<root>/vendor/bin/<name>`, якщо файл існує; інакше `null`.
-
-Side effects: `existsSync` (лише читання).
-
-### `runTool(label, abs, args, pass, fail)` (private)
-
-Сигнатура: `runTool(label: string, abs: string, args: string[], pass: (msg: string) => void, fail: (msg: string) => void): boolean`
-
-Параметри:
-
-- `label` — людиночитна назва кроку (наприклад, `"PHPStan"`), використовується в повідомленнях.
-- `abs` — абсолютний шлях до CLI-бінарника.
-- `args` — аргументи командного рядка.
-- `pass` — callback для запису успіху в репортер.
-- `fail` — callback для запису помилки в репортер.
-
-Повертає: `true`, якщо процес завершився з кодом 0; `false` — інакше.
-
-Алгоритм:
-
-1. Запускає `spawnSync(abs, args, { stdio: 'inherit', shell: false })`. `stdio: 'inherit'` означає, що stdout/stderr дитячого процесу пробрасуються користувачу напряму.
-2. Якщо `r.status === 0` — викликає `pass(\`lint-php: ${label} — OK\`)`і повертає`true`.
-3. Інакше визначає код: якщо `r.status` — число, то воно; інакше `1` (захист від `null`, який трапляється, наприклад, при сигналі або провалі запуску).
-4. Викликає `fail(\`lint-php: ${label} — помилка (код ${code}, php.mdc)\`)`і повертає`false`.
-
-Side effects: запускає дочірній процес, успадковує stdio батьківського процесу.
-
-### `run()`
-
-Сигнатура: `run(): number`
-
-Параметри: немає.
-
-Повертає: код виходу — `0` (успіх) або `1` (хоча б одна помилка). Реальний код визначає `reporter.getExitCode()`.
-
-Алгоритм (по кроках):
-
-1. Створює репортер: `const reporter = createCheckReporter()`; деструктуризує `pass` і `fail` з нього.
-2. Бере поточний робочий каталог: `const root = process.cwd()`.
-3. Якщо `composer.json` у корені **відсутній** — викликає `pass('lint-php: немає composer.json у корені — кроки PHP пропущено')` і повертає `reporter.getExitCode()` (фактично 0).
-4. Резолвить бінарник `composer` через `resolveCmd('composer')`. Якщо не знайдено — викликає `fail` з повідомленням про відсутність у `PATH` і виходить.
-5. Запускає `composer audit --no-interaction` через `runTool`. Якщо крок провалився — негайно повертає поточний код виходу (далі нічого не виконується).
-6. Оголошує вкладену функцію `runOptionalVendorTool(binName, label, args): boolean` (див. нижче).
-7. Послідовно викликає `runOptionalVendorTool` для:
-   - `php-cs-fixer` → label `"PHP-CS-Fixer (dry-run)"`, args `['fix', '--dry-run', '--diff']`.
-   - `phpcs` → label `"phpcs (Security)"`, args `['--standard=Security', '--ignore=*/vendor/*,*/node_modules/*,*/.git/*', ...getPhpcsCodePaths(root)]`.
-   - `phpstan` → label `"PHPStan"`, args `['analyse', '--no-progress']`.
-   - `psalm` → label `"Psalm"`, args `['--no-cache']`.
-8. Після кожного кроку, якщо він повернув `false` (тобто `runTool` зафейлився; пропуск через відсутність бінарника `false` **не** дає), функція негайно повертає `reporter.getExitCode()`.
-9. Якщо всі кроки успішні — повертає `reporter.getExitCode()`.
-
-Порядок кроків зафіксований: PHP-CS-Fixer → PHPCS → PHPStan → Psalm. Перший провал зупиняє конвеєр.
-
-Side effects:
-
-- Читає `process.cwd()` і файли в ньому.
-- Резолвить `composer` через `PATH`.
-- Спавнить дочірні процеси з успадкованим stdio.
-- Не модифікує жодних файлів (PHP-CS-Fixer запускається в `--dry-run --diff`).
-- Підсумково повертає число; не викликає `process.exit` самостійно (це робить CLI-обгортка через `process.exitCode`).
-
-### `runOptionalVendorTool(binName, label, args)` (вкладена в `run`)
-
-Сигнатура: `runOptionalVendorTool(binName: string, label: string, args: string[]): boolean`
-
-Параметри:
-
-- `binName` — імʼя файла у `vendor/bin`.
-- `label` — назва кроку для повідомлень.
-- `args` — аргументи CLI.
-
-Повертає: `true`, якщо крок успішний **або** пропущений (бінарника немає); `false`, якщо крок виконано й він зафейлився.
-
-Алгоритм:
-
-1. Резолвить абсолютний шлях через `vendorBin(root, binName)`.
-2. Якщо `null` — викликає `pass(\`lint-php: vendor/bin/${binName} — відсутній, крок пропущено\`)`і повертає`true`.
-3. Інакше делегує `runTool(label, abs, args, pass, fail)` і повертає його результат.
-
-Side effects: ті самі, що в `vendorBin` + `runTool` для виконуваного кроку.
-
-## Залежності
-
-### Стандартна бібліотека Node.js
-
-- `node:child_process` → `spawnSync` — синхронний запуск дочірніх процесів.
-- `node:fs` → `existsSync`, `statSync` — перевірка існування файлів і визначення, чи це директорія.
-- `node:path` → `join`, `resolve` — побудова шляхів (`join` — для відносних, `resolve` — для абсолютних).
-
-### Внутрішні модулі репозиторію (відносні шляхи)
-
-- `../../../scripts/cli-entry.mjs` → `isRunAsCli` — детектор того, що поточний модуль запущений як CLI (порівнює `import.meta.url` зі стартовим файлом).
-- `../../../scripts/lib/check-reporter.mjs` → `createCheckReporter` — фабрика репортера з полями `pass`, `fail`, `getExitCode()`. Усі повідомлення формату `lint-php: <label> — ...` йдуть саме через нього.
-- `../../../scripts/utils/resolve-cmd.mjs` → `resolveCmd` — пошук бінарника в `PATH` (повертає шлях або `null`/`undefined`).
-
-### Зовнішні CLI-залежності (виконувані файли)
-
-- `composer` — має бути у `PATH`, якщо в проєкті є `composer.json`.
-- `vendor/bin/php-cs-fixer`, `vendor/bin/phpcs`, `vendor/bin/phpstan`, `vendor/bin/psalm` — опційні; відсутній бінарник пропускає відповідний крок.
-
-### Правило / контекст
-
-- `php.mdc` — правило з `.cursor/rules/`, на яке посилається модуль (тексти повідомлень містять `php.mdc`).
-
-## Потік виконання / Використання
-
-### Запуск як CLI
-
-```bash
-node npm/rules/php/lint/lint.mjs
-# або через bun
-bun npm/rules/php/lint/lint.mjs
-```
-
-При CLI-запуску виконується блок:
-
-```js
-if (isRunAsCli(import.meta.url)) {
-  process.exitCode = run()
-}
-```
-
-Це означає, що процес завершиться з кодом, що повернула `run()` (0 або 1). Викид `throw` не очікується — усі помилки інструментів повідомляються через `fail`, а не через виключення.
-
-### Імпорт як модуля
-
-```js
-import { run, getPhpcsCodePaths } from './lint.mjs'
-
-const exitCode = run()
-if (exitCode !== 0) {
-  // обробка помилки
-}
-```
-
-`getPhpcsCodePaths` корисна для тестування або для повторного використання логіки вибору директорій.
-
-### Сценарії
-
-1. **Немає `composer.json`** — повертає 0, нічого не запускає, пише в репортер `pass`-повідомлення.
-2. **Є `composer.json`, але немає `composer`** — повертає 1, у репортері є `fail`.
-3. **Є `composer.json` і `composer`, немає жодного `vendor/bin/*`** — запускається лише `composer audit`; якщо він пройде, повертає 0, інші кроки відмічаються як пропущені.
-4. **Усі інструменти встановлені** — послідовний прогін: `composer audit` → `php-cs-fixer` → `phpcs` (за директоріями з `getPhpcsCodePaths`) → `phpstan` → `psalm`. Будь-який ненульовий exit-code дочірнього процесу перериває ланцюг і повертає 1.
-5. **`composer.json` є, директорій `app`/`src`/`lib`/`public`/`www` немає** — PHPCS отримує єдиний шлях `.`.
-
-### Особливості
-
-- `spawnSync` запускається з `shell: false` — параметри передаються як масив, shell-інʼєкції неможливі.
-- `stdio: 'inherit'` — повний вивід інструментів іде в термінал користувача; репортер додає лише підсумкові `pass/fail`-рядки.
-- Fail-fast: модуль не агрегує помилки кількох інструментів; на першій помилці виходить.
-- Усі повідомлення українською, із префіксом `lint-php:` для легкої грепабельності.
-- Функція `run` не приймає аргументів — корінь визначається через `process.cwd()`, що дозволяє запускати її з будь-якого workspace без передавання шляху.

package/rules/python/fix.mjs

@@ -1,18 +0,0 @@
-import { isRunAsCli, runRuleCli } from '../../scripts/lib/run-rule-cli.mjs'
-import { runStandardRule } from '../../scripts/lib/run-standard-rule.mjs'
-
-/**
- * Запускає правило: applies → JS-concerns → policy → mdc-refs (через runStandardRule).
- * Library mode: викликається CLI orchestration через `import + run(ctx)`.
- * @param {import('../../scripts/lib/run-standard-rule.mjs').RuleContext} [ctx] контекст прогону (walkCache тощо)
- * @returns {Promise<number>} 0 — OK, 1 — порушення
- */
-export function run(ctx) {
-  return runStandardRule(import.meta.dirname, ctx)
-}
-
-if (isRunAsCli(import.meta.url)) {
-  // Standalone: bun rules/<id>/fix.mjs — повний еквівалент `npx @nitra/cursor fix <id>`
-  // (config-loading + whitelist + summary). Дві ролі fix.mjs: library (run) + standalone (main).
-  process.exitCode = await runRuleCli(import.meta.dirname)
-}

package/rules/python/js/docs/lint.md

@@ -1,21 +0,0 @@
----
-type: JS Module
-title: lint.mjs
-resource: npm/rules/python/js/lint.mjs
-docgen:
-  crc: a0d17a44
-  score: 100
----
-
-Оркестраторний адаптер правила `python` для `n-cursor lint`. Делегує перевірку наявній CLI-формі (`runLintPython` із `../lint/lint.mjs`). Режиму на рівні окремих файлів немає — `uv`/`ruff`/`mypy` працюють по всьому проєкту, тож параметр `files` ігнорується. За відсутності `pyproject.toml` у корені крок завершується успіхом без запуску інструментів.
-
-## Поведінка
-
-1. Викликає CLI-форму python-лінтера для всього проєкту.
-2. У `readOnly` пробрасує прапорець далі: `ruff` без `--fix`, `ruff format --check` (нуль мутацій для CI).
-3. Повертає код виходу інструменту.
-
-## Гарантії поведінки
-
-- Read-only за наявності `readOnly`: інструменти не мутують робоче дерево.
-- Не звертається до мережі (uv-кроки можуть, але це поведінка делегата, не цього модуля).

package/rules/python/js/lint.mjs

@@ -1,14 +0,0 @@
-/** @see ./docs/lint.md */
-import { runLintPython } from '../lint/lint.mjs'
-
-/**
- * Ci-крок python: делегує у наявний CLI правила (per-file режиму немає — `files` ігнорується;
- * uv/ruff/mypy працюють по всьому проєкту). Без `pyproject.toml` крок — no-op (exit 0).
- * @param {string[] | undefined} _files ігнорується (whole-project аналіз)
- * @param {string} [_cwd] корінь (CLI бере process.cwd())
- * @param {{ readOnly?: boolean }} [opts] readOnly → ruff без `--fix`, format `--check` (нуль мутацій)
- * @returns {Promise<number>} exit code
- */
-export function lint(_files, _cwd, opts = {}) {
-  return runLintPython({ readOnly: opts.readOnly === true })
-}

package/rules/python/lint/docs/index.md

@@ -1,11 +0,0 @@
----
-type: Directory Index
-title: npm/rules/python/lint
-resource: npm/rules/python/lint/
----
-
-# npm/rules/python/lint
-
-| Файл | Тип |
-|---|---|
-| [lint.mjs](lint.md) | JS Module |

package/rules/python/lint/docs/lint.md

@@ -1,29 +0,0 @@
----
-type: JS Module
-title: lint.mjs
-resource: npm/rules/python/lint/lint.mjs
-docgen:
-  crc: 61a1e3c3
-  model: omlx/gemma-4-e4b-it-OptiQ-4bit
-  score: 90
-  issues: internal-name:runStandardLint,judge:inaccurate:0.99
-  judgeModel: openai-codex/gpt-5.4-mini
----
-
-## Огляд
-
-Забезпечує виконання обов'язкових кроків для валідації Python-коду відповідно до правил, визначених у `python.mdc`, використовуючи інструменти з [uv](https://docs.astral.sh/uv/). Якщо `pyproject.toml` відсутній у корені, процес завершується з кодом 0. Якщо файл присутній, але `uv` не знайдено в PATH, це розглядається як помилка. Обов'язкові кроки включають перевірку актуальності lock-файлу (`uv lock --check`) та збірку середовища (`uv sync --frozen`). Опціональні лінтери (`ruff`, `mypy`) запускаються лише за умови їх доступності через `uv run`. Цей процес реалізує канон патерну `lint-*` (серіалізація через `runStandardLint`).
-
-## Поведінка
-
-runLintPythonSteps виконує обов'язкові кроки для Python-лінтування за правилом python.mdc на базі [uv](https://docs.astral.sh/uv/). Якщо `pyproject.toml` відсутній, кроки пропускаються. Якщо `uv` не знайдено, виникає помилка. Виконує перевірку актуальності lock-файлу (`uv lock --check`) та збірку середовища (`uv sync --frozen`). Опціонально запускає лінтери (`ruff`, `mypy`) через `uv run`, якщо вони доступні.
-runLintPython серіалізує запуск кроків лінтування Python через механізм `runStandardLint` та повертає код виходу.
-
-## Публічний API
-
-runLintPythonSteps — Виконує внутрішні етапи перевірки коду Python без блокування.
-runLintPython — Виконує публічну команду перевірки коду Python, забезпечуючи унікальність виконання на основі стану Git-дерева та використовуючи механізм блокування.
-
-## Гарантії поведінки
-
-- Read-only: не виконує операцій запису (ФС/БД).

package/rules/rego/fix.mjs

@@ -1,18 +0,0 @@
-import { isRunAsCli, runRuleCli } from '../../scripts/lib/run-rule-cli.mjs'
-import { runStandardRule } from '../../scripts/lib/run-standard-rule.mjs'
-
-/**
- * Запускає правило: applies → JS-concerns → policy → mdc-refs (через runStandardRule).
- * Library mode: викликається CLI orchestration через `import + run(ctx)`.
- * @param {import('../../scripts/lib/run-standard-rule.mjs').RuleContext} [ctx] контекст прогону (walkCache тощо)
- * @returns {Promise<number>} 0 — OK, 1 — порушення
- */
-export function run(ctx) {
-  return runStandardRule(import.meta.dirname, ctx)
-}
-
-if (isRunAsCli(import.meta.url)) {
-  // Standalone: bun rules/<id>/fix.mjs — повний еквівалент `npx @nitra/cursor fix <id>`
-  // (config-loading + whitelist + summary). Дві ролі fix.mjs: library (run) + standalone (main).
-  process.exitCode = await runRuleCli(import.meta.dirname)
-}

package/rules/rego/js/docs/lint.md

@@ -1,21 +0,0 @@
----
-type: JS Module
-title: lint.mjs
-resource: npm/rules/rego/js/lint.mjs
-docgen:
-  crc: 8c033173
-  score: 100
----
-
-Файл виконує передачу перевірок у наявні CLI правила. Функція повертає Promise з кодом виходу.
-
-## Поведінка
-
-1. lint приймає масив рядків або undefined
-2. lint делегує виконання у CLI правила
-3. lint повертає Promise з кодом виходу
-
-## Гарантії поведінки
-
-- Read-only: файл не виконує операцій запису у файлову систему.
-- Не звертається до мережі.

package/rules/rego/js/lint.mjs

@@ -1,12 +0,0 @@
-/**
- * Ci-крок rego: делегує у наявний CLI правила (per-file режиму немає — `files` ігнорується).
- */
-import { runLintRego } from '../lint/lint.mjs'
-
-/**
- * @param {string[] | undefined} _files ігнорується (whole-repo аналіз)
- * @returns {Promise<number>} exit code
- */
-export function lint(_files) {
-  return runLintRego()
-}

package/rules/rego/lint/docs/index.md

@@ -1,11 +0,0 @@
----
-type: Directory Index
-title: npm/rules/rego/lint
-resource: npm/rules/rego/lint/
----
-
-# npm/rules/rego/lint
-
-| Файл | Тип |
-|---|---|
-| [lint.mjs](lint.md) | JS Module |

package/rules/rego/lint/docs/lint.md

@@ -1,208 +0,0 @@
----
-type: JS Module
-title: lint.mjs
-resource: npm/rules/rego/lint/lint.mjs
-docgen:
-  crc: 1059537a
----
-
-Модуль реалізує лінт-крок для Rego-полісі пакета `@nitra/cursor`, який живуть у каталозі
-`npm/rules/<id>/policy/<concern>/`. Він послідовно запускає три інструменти й повертає код
-виходу першого, що впав:
-
-1. `opa check --strict` — компіляція Rego з типами та строгим режимом (ловить мертвий код,
-   неоднозначні правила, незадекларовані змінні).
-2. `regal lint` — статичний лінтер стилю/ідіоматичності Rego (v0-синтаксис, неявні set-rules,
-   відхилення від `rego.v1`, плюс правила категорій bugs/idiomatic/performance — див.
-   `https://docs.styra.com/regal`).
-3. `conftest verify` — опційно: виконує `test_*` правила у `*_test.rego` (юніт-тести
-   полісі). Якщо `conftest` відсутній у `PATH`, крок пропускається без помилки (з
-   повідомленням, як його встановити).
-
-Бінарники `opa` й `regal` резолвляться через `ensureTool` (`PATH` → локальний кеш → автоматичне
-встановлення через `brew`/`scoop`/GitHub Release → hard-fail). `conftest` шукається лише в
-`PATH` через `resolveCmd` без авто-install.
-
-Канон патерну `lint-*` (серіалізація через `runStandardLint`, без прямого `withLock`) описаний
-у `.cursor/rules/scripts.mdc`, секція «Серіалізація важких CLI-команд». Публічна CLI-форма
-обгорнута в `withLock('lint-rego')` з дедуплікацією за станом git-дерева.
-
-Файл одночасно є ESM-модулем (експортує функції) і CLI-точкою входу: якщо запущений напряму
-(`isRunAsCli`), виконує `await runLintRego()` і виставляє `process.exitCode`.
-
-## Експорти / API
-
-Модуль експортує два символи:
-
-| Експорт            | Тип                          | Призначення                                                                                                                                             |
-| ------------------ | ---------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------- |
-| `runLintRegoSteps` | named function               | Внутрішня форма без локу: запускає три кроки в заданому `cwd`. Призначена для тестів у тимчасових каталогах, де потрібен fresh-прогон без дедуплікації. |
-| `runLintRego`      | named const (arrow function) | Публічна CLI-форма: серіалізує виконання через `withLock('lint-rego')` + дедуп за станом git-дерева (через `runStandardLint`).                          |
-
-Також модуль має side-effect при прямому запуску: якщо `isRunAsCli(import.meta.url)` повертає
-`true`, виконується `await runLintRego()` із записом результату в `process.exitCode`.
-
-## Функції
-
-### `runStep(bin, args, cwd)`
-
-Внутрішня (не експортована) допоміжна функція. Запускає процес із успадкованим `stdio`, щоб
-вивід виглядав як прямий виклик у shell, і пре-логує команду користувачу.
-
-- **Сигнатура:** `runStep(bin: string, args: string[], cwd: string) => number`
-- **Параметри:**
-  - `bin` — абсолютний шлях до бінарника (`opa`, `regal`, `conftest`).
-  - `args` — масив аргументів командного рядка.
-  - `cwd` — робочий каталог для дочірнього процесу.
-- **Повертає:** код виходу (`0` — OK). Якщо `spawnSync` не зміг запустити бінарник
-  (`result.error`), повертає `1`.
-- **Side effects:**
-  - Друкує рядок `▶ <bin> <args...>` у `stdout` (логування команди).
-  - У випадку помилки запуску пише `❌ Не вдалося запустити <bin>: <message>\n` у `stderr`.
-  - Породжує дочірній процес через `spawnSync` з `stdio: 'inherit'` і `env: process.env`
-    (наслідування поточного середовища).
-
-### `runLintRegoSteps(cwd?)`
-
-Експортована функція, що виконує послідовність кроків лінту без локу.
-
-- **Сигнатура:** `runLintRegoSteps(cwd?: string) => number`
-- **Параметри:**
-  - `cwd` — робочий каталог (за замовчуванням `process.cwd()`).
-- **Повертає:** число — код виходу.
-  - `0` — усі кроки OK або жодної цілі не знайдено (skip).
-  - Ненульове — код виходу першого кроку, що впав (раннє повернення).
-- **Алгоритм:**
-  1. Резолвить `root = resolve(cwd)`.
-  2. `opa = ensureTool('opa')` — гарантує наявність `opa` (інакше `ensureTool` hard-fail).
-  3. `regal = ensureTool('regal')` — те саме для `regal`.
-  4. Фільтрує `LINT_TARGETS` за наявністю на диску (через `existsSync`). Якщо порожньо —
-     повертає `0` (skip).
-  5. `runStep(opa, ['check', '--strict', ...targets], root)` — якщо `!== 0`, повертає цей код.
-  6. `runStep(regal, ['lint', ...targets], root)` — якщо `!== 0`, повертає цей код.
-  7. `conftest = resolveCmd('conftest')` — якщо `null`, друкує інформативне повідомлення про
-     пропуск кроку й рекомендацію зі встановлення, повертає `0`.
-  8. Інакше `runStep(conftest, ['verify', ...targets.flatMap(t => ['-p', t])], root)` —
-     повертає його код виходу.
-- **Side effects:** виконує `ensureTool` (може встановити бінарник або hard-fail), породжує
-  дочірні процеси з успадкованим `stdio`, пише в `stdout`/`stderr`.
-
-### `runLintRego()`
-
-Експортована публічна CLI-форма (arrow-const).
-
-- **Сигнатура:** `runLintRego() => Promise<number>`
-- **Параметри:** немає.
-- **Повертає:** `Promise<number>` — код виходу.
-- **Поведінка:** делегує в `runStandardLint(import.meta.dirname, () => runLintRegoSteps())`.
-  `runStandardLint` забезпечує:
-  - Серіалізацію через `withLock('lint-rego')` (іменем серіалізатора виступає назва каталогу
-    `lint`, отримана з `import.meta.dirname` — конвенція `runStandardLint`).
-  - Дедуплікацію проти попереднього прогону за станом git-дерева.
-- **Side effects:** через делегування — ті самі, що в `runLintRegoSteps`, плюс файлові
-  side-effects лок-файлу й кешу станів від `runStandardLint`.
-
-### CLI-вхід (на верхньому рівні модуля)
-
-```js
-if (isRunAsCli(import.meta.url)) {
-  process.exitCode = await runLintRego()
-}
-```
-
-- Виконується лише при прямому запуску модуля як скрипта (а не при імпорті).
-- Очікує проміс `runLintRego()` і записує отриманий код у `process.exitCode` (не викликає
-  `process.exit` явно, щоб лог-флаш не обрізався).
-
-## Залежності
-
-### Стандартна бібліотека Node.js
-
-- `node:child_process` → `spawnSync` — синхронний запуск дочірніх процесів із `stdio: 'inherit'`.
-- `node:fs` → `existsSync` — перевірка наявності каталогів-цілей.
-- `node:path` → `resolve` — нормалізація абсолютних шляхів.
-
-### Внутрішні модулі (відносні шляхи від `npm/rules/rego/lint/lint.mjs`)
-
-- `../../../scripts/cli-entry.mjs` → `isRunAsCli` — детектор «запущений напряму як CLI».
-- `../../../scripts/lib/ensure-tool.mjs` → `ensureTool` — резолв бінарників (`PATH` → кеш →
-  авто-install brew/scoop/GitHub Release → hard-fail).
-- `../../../scripts/utils/resolve-cmd.mjs` → `resolveCmd` — м'який пошук команди в `PATH`
-  (повертає шлях або `null`, без авто-install і без hard-fail).
-- `../../../scripts/lib/run-standard-lint.mjs` → `runStandardLint` — обгортка з локом і
-  дедуплікацією для лінт-кроків.
-
-### Зовнішні бінарники (системні)
-
-- `opa` — обов'язковий, авто-install через `ensureTool` (Open Policy Agent CLI).
-- `regal` — обов'язковий, авто-install через `ensureTool` (Styra Regal lint CLI).
-- `conftest` — опційний, лише з `PATH` (без авто-install). За відсутності — `verify`
-  пропускається.
-
-### Константи модуля
-
-- `LINT_TARGETS = ['npm/rules']` — список відносних шляхів-цілей, що передаються в усі три
-  інструменти. Перед запуском фільтрується за `existsSync`.
-
-## Потік виконання / Використання
-
-### Як модуль (програмний імпорт)
-
-```js
-import { runLintRego, runLintRegoSteps } from './npm/rules/rego/lint/lint.mjs'
-
-// CLI-форма (з локом і дедуплікацією) — рекомендована для оркестрації
-const code = await runLintRego()
-
-// Внутрішня форма (без локу) — для тестів у тимчасових каталогах
-const codeFresh = runLintRegoSteps('/tmp/fixture-cwd')
-```
-
-### Як CLI (прямий запуск)
-
-```sh
-node npm/rules/rego/lint/lint.mjs
-```
-
-При прямому запуску модуль викликає `runLintRego()` і виставляє `process.exitCode` відповідно
-до результату. Це дозволяє оркестратору лінту (наприклад, кореневому `bun run lint`)
-підхопити цей файл як один із кроків і отримати правильний код виходу процесу.
-
-### Логічний потік (один прогон `runLintRegoSteps`)
-
-1. Резолв `cwd → root`.
-2. `ensureTool('opa')` — повертає шлях до бінарника або hard-fail (з повідомленням
-   `ensureTool`).
-3. `ensureTool('regal')` — те саме.
-4. Перевірка цілей: `LINT_TARGETS.filter(existsSync)`. Порожньо → `return 0` (skip).
-5. `opa check --strict <targets...>` → `runStep`. `!== 0` → early-return з цим кодом.
-6. `regal lint <targets...>` → `runStep`. `!== 0` → early-return з цим кодом.
-7. `resolveCmd('conftest')`:
-   - `null` → інформативний `console.log` із рекомендацією встановлення, `return 0`.
-   - інакше → `conftest verify -p <t1> -p <t2> ...` через `runStep`; повертається його код.
-8. Повернутий код піднімається до `runLintRego` → у `runStandardLint` → у `process.exitCode`
-   (для CLI-режиму).
-
-### Семантика помилок і пропусків
-
-- **Усі цілі відсутні** → skip із кодом `0` (немає чого лінтити на ранніх стадіях/у мінімальних
-  фікстурах).
-- **`opa`/`regal` відсутні** → hard-fail усередині `ensureTool` (без авто-install або з
-  невдалим авто-install).
-- **`opa check` або `regal lint` повернули `!== 0`** → раннє повернення з цим кодом; наступні
-  кроки не виконуються.
-- **`conftest` відсутній у `PATH`** → лог-нотатка про пропуск, фінальний код `0` (вважається
-  не помилкою — юніт-тести полісі опційні в локальному середовищі; у CI рекомендовано
-  встановлювати `conftest`).
-- **`spawnSync` не зміг запустити бінарник** (`result.error`) → лог `❌ Не вдалося запустити
-...` у `stderr`, `runStep` повертає `1`.
-
-### Контекст у проєкті
-
-- Цілі лінту — каталог `npm/rules` пакета `@nitra/cursor`, де живуть Rego-полісі у
-  `npm/rules/<id>/policy/<concern>/`. Усі три інструменти приймають один шлях і рекурсивно
-  знаходять `.rego`, ігноруючи інші розширення (наприклад, `target.json` чи template-фіх).
-- `opa` додатково потрібен VS Code-розширенню `tsandall.opa` (LSP, format-on-save через
-  `opa fmt`) — деталі в `mdc/rego.mdc`.
-- Канон патерну `lint-*` із серіалізацією через `runStandardLint` (а не прямий `withLock`) —
-  див. `.cursor/rules/scripts.mdc`, секція «Серіалізація важких CLI-команд».

package/rules/rust/fix.mjs

@@ -1,18 +0,0 @@
-import { isRunAsCli, runRuleCli } from '../../scripts/lib/run-rule-cli.mjs'
-import { runStandardRule } from '../../scripts/lib/run-standard-rule.mjs'
-
-/**
- * Запускає правило: applies → JS-concerns → policy → mdc-refs (через runStandardRule).
- * Library mode: викликається CLI orchestration через `import + run(ctx)`.
- * @param {import('../../scripts/lib/run-standard-rule.mjs').RuleContext} [ctx] контекст прогону (walkCache тощо)
- * @returns {Promise<number>} 0 — OK, 1 — порушення
- */
-export function run(ctx) {
-  return runStandardRule(import.meta.dirname, ctx)
-}
-
-if (isRunAsCli(import.meta.url)) {
-  // Standalone: bun rules/<id>/fix.mjs — повний еквівалент `npx @nitra/cursor fix <id>`
-  // (config-loading + whitelist + summary). Дві ролі fix.mjs: library (run) + standalone (main).
-  process.exitCode = await runRuleCli(import.meta.dirname)
-}

package/rules/rust/js/docs/lint.md

@@ -1,21 +0,0 @@
----
-type: JS Module
-title: lint.mjs
-resource: npm/rules/rust/js/lint.mjs
-docgen:
-  crc: 5d7c4123
-  score: 100
----
-
-Оркестраторний адаптер правила `rust` для `n-cursor lint`: rustfmt + clippy через `cargo`. Запускається на `n-cursor lint rust`. За відсутності `Cargo.toml` у корені — no-op (вихід 0). `cargo`/`rustfmt`/`clippy` резолвляться з PATH (Rust toolchain через rustup), не з npm-залежностей; якщо `cargo` відсутній за наявного `Cargo.toml` — помилка.
-
-## Поведінка
-
-1. `readOnly` (CI): `cargo fmt --all -- --check` + `cargo clippy --all-targets --all-features -- -D warnings` — детект без мутацій.
-2. fix-режим: `cargo fmt --all` + `cargo clippy --fix` + фінальний `cargo clippy … -D warnings`.
-3. Перший ненульовий cargo-крок спиняє ланцюг і повертає його код.
-
-## Гарантії поведінки
-
-- Read-only за наявності `readOnly`: cargo не мутує робоче дерево (`--check`, без `--fix`).
-- Не звертається до мережі напряму (cargo-кроки можуть тягнути crates, але це поведінка тулчейну).