@nitra/cursor 12.8.3 → 12.8.5

package/scripts/lib/docs/skill-meta.md

@@ -3,33 +3,31 @@ type: JS Module
 title: skill-meta.mjs
 resource: npm/scripts/lib/skill-meta.mjs
 docgen:
-  crc: 0c638d18
+  crc: c0918db5
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
 ---
 
-Цей файл парсить метадані скілу з файлу `meta.json` та надає інформацію про його конфігурацію. Він служить єдиним джерелом правди про скіл, замінюючи старий `auto.md`, і використовується для визначення, чи потрібно запускати скіл в окремому worktree, чи з кореня репозиторію. Це забезпечує узгодженість даних про скіли та полегшує їх використання в інших частинах системи.
+## Огляд
+
+Спільний парсер метаданих скіла, що зчитує дані з `npm/skills/<id>/meta.json`. Він є єдиним джерелом правди для конфігурації скілів, визначаючи умови автоактивації (через поле `auto`, де `SKILL_ALWAYS` означає "завжди"), чи виконувати скіл в окремому git-worktree (`worktree`), та чи вимагає скіл запуску з кореня репозиторію (`requireRoot`). Модуль надає механізми для парсингу цих метаданих, перевірки вимог до кореня та читання сирих даних. Він працює в режимі fail-safe, перехоплюючи помилки та повертаючи порожнє значення замість винятків.
 
 ## Поведінка
 
-SKILL_ALWAYS: визначає літерал для безумовної автоактивації.
-parseSkillAutoSpec: перетворює значення `auto` з `meta.json` у об’єкт `SkillAutoSpec`.
-skillRequiresRoot: визначає, чи вимагає скіл запуску з кореня репо.
-readSkillMetaRaw: читає та парсить `meta.json` одного скіла, повертаючи розпарсений об’єкт або `null`.
+SKILL_ALWAYS — надає літерал для безумовної автоактивації скіла.
+parseSkillAutoSpec — перетворює значення поля `auto` з метаданих скіла у специфікацію автоактивації.
+skillRequiresRoot — визначає, чи вимагає скіл запуску з кореня репозиторію, виходячи з метаданих.
+readSkillMetaRaw — читає та парсить файл `main.json` у каталозі скіла, повертаючи його вміст або `null` у разі помилки.
 
 ## Публічний API
 
-- SKILL_ALWAYS — Активує скіл завжди.
-- parseSkillAutoSpec — Перетворює специфікацію авто-скілу з JSON.
-- skillRequiresRoot — Перевіряє, чи потрібен скілу доступ до кореневої директорії.
-- readSkillMetaRaw — Зчитує та аналізує метадані скілу з файлу JSON.
+SKILL_ALWAYS — маркер, що вказує на безумовну активацію
+parseSkillAutoSpec — витягує налаштування автоматичного запуску з `meta.json`
+skillRequiresRoot — визначає, чи потрібен запуск скіла з кореня репозиторію
+readSkillMetaRaw — зчитує та обробляє метадані окремого скіла з `meta.json`
 
 ## Гарантії поведінки
 
-- Повертає `false` якщо не вдається розібрати `meta.json`.
-- Повертає `null` якщо не вдається визначити `auto.spec`.
-- `auto.spec` завжди є масивом id правил, якщо `auto.spec` визначено.
-- `worktree` має значення `true` лише для скілів, які потребують окремого git-worktree.
-- `requireRoot` має значення `true` лише для скілів, які мутують в CWD без worktree-ізоляції.
-- Якщо `worktree` має значення `true`, поле `requireRoot` не використовується.
-- Не використовує кеш.
-- Не кидає винятків.
-- Гарантує, що `meta.json` є єдиним джерелом правди для скілу.
+- Read-only: не виконує операцій запису (ФС/БД).
+- Перехоплює помилки і не пропускає винятків назовні (fail-safe).
+- За певних помилок повертає порожнє значення (напр. `null`) замість винятку.

package/scripts/lib/docs/timing-summary.md

@@ -3,24 +3,24 @@ type: JS Module
 title: timing-summary.mjs
 resource: npm/scripts/lib/timing-summary.mjs
 docgen:
-  crc: ee74c1cd
+  crc: 47660e16
   model: omlx/gemma-4-e4b-it-OptiQ-4bit
-  score: 100
+  score: 95
 ---
 
 ## Огляд
 
-Формує таблицю-резюме часу виконання для оркестратора `fix` або `lint`. Таблиця використовується після прогону всіх правил перевірки (`runFixCommand` у `bin/n-cursor.js`) або після прогону скриптів лінтингу (`runLintCli` у `scripts/lib/run-lint-cli.mjs`), які визначаються у `package.json`. Звіт містить деталі часу виконання для кожного елемента у форматі `<ціла>.<десята>s`, а маркер `❌` на рядку вказує на невдачу (`ok === false`).
+Форматує тривалість у форматі `<ціла>.<десята>s`. Генерує таблицю-резюме часу виконання для оркестратора `fix` або `lint`, яка включає детальні записи та загальний час прогону. Таблиця містить маркер `❌` для позначення невдач. Функція повертає готовий рядок із фінальним `\n`; друк здійснюється на стороні виклику.
 
 ## Поведінка
 
-formatDurationMs перетворює тривалість у мілісекундах у рядок формату `<ціла>.<десята>s`.
-formatTimingSummary генерує багаторядковий текст таблиці-резюме часу виконання на основі наданого заголовка та списку записів про час.
+formatDurationMs форматує тривалість у мілісекундах у рядок у форматі `<ціла>.<десята>s`.
+formatTimingSummary генерує багаторядковий рядок із таблицею-резюме часу виконання, включаючи окремі записи та загальний час.
 
 ## Публічний API
 
-⏱ formatDurationMs: Перетворює мілісекунди на формат `<sec>.<десята>s`, використовуючи округлення вниз.
-⏱ formatTimingSummary: Генерує багаторядковий вивід у форматі таблиці-резюме для стандартного виводу.
+⏱ formatDurationMs: Перетворює мілісекунди у формат `<sec>.<десята>s`, використовуючи нижнє округлення для забезпечення консистентності виводу.
+⏱ formatTimingSummary: Генерує багаторядковий текстовий звіт про час виконання, структурований як таблиця з сумарними даними.
 
 ## Гарантії поведінки
 

package/scripts/lib/inline-template-links.mjs

@@ -4,6 +4,7 @@ import { basename, extname, join } from 'node:path'
 
 const MD_LINK_RE = /\[([^\]]{1,200})\]\((\.\/[^)]{1,500})\)/g
 const TEMPLATE_SEGMENT_RE = /\/templates?\//
+const MDC_EXT_RE = /\.mdc$/
 /** Статичні regexp-літерали `^(.+)\.<slot>\.<ext>$` — без `RegExp(variable)`. */
 const SLOT_SUFFIX_RES = [/^(.+)\.snippet\.[^.]+$/, /^(.+)\.deny\.[^.]+$/, /^(.+)\.contains\.[^.]+$/]
 
@@ -66,3 +67,33 @@ export async function inlineTemplateLinks(text, ruleDir) {
 
   return result
 }
+
+/**
+ * Finds markdown links whose href ends with `.mdc` (and is not a /template/ path) and
+ * replaces them with the raw markdown content of the linked file (no fencing).
+ * Intended for per-concern section files living alongside their .mjs implementations.
+ * Throws Error if a matched link target doesn't exist (fail loud).
+ * @param {string} text .mdc file contents (after inlineTemplateLinks)
+ * @param {string} ruleDir absolute path to the rule directory
+ * @returns {Promise<string>} transformed text
+ */
+export async function inlineMarkdownIncludes(text, ruleDir) {
+  const matches = [...text.matchAll(MD_LINK_RE)].filter(m => MDC_EXT_RE.test(m[2]) && !TEMPLATE_SEGMENT_RE.test(m[2]))
+  if (matches.length === 0) return text
+
+  let result = text
+  for (const match of matches) {
+    const [fullMatch, , href] = match
+    const relPath = href.slice(2) // strip leading ./
+    const absPath = join(ruleDir, relPath)
+
+    if (!existsSync(absPath)) {
+      throw new Error(`inlineMarkdownIncludes: file not found: ${absPath} (referenced from .mdc)`)
+    }
+
+    const raw = await readFile(absPath, 'utf8')
+    result = result.replace(fullMatch, () => raw.trim())
+  }
+
+  return result
+}

package/scripts/lib/mirror-parity.mjs

@@ -9,7 +9,7 @@
 import { existsSync, readdirSync, readFileSync } from 'node:fs'
 import { dirname, join } from 'node:path'
 
-import { inlineTemplateLinks } from './inline-template-links.mjs'
+import { inlineMarkdownIncludes, inlineTemplateLinks } from './inline-template-links.mjs'
 
 const MIRROR_PREFIX = 'n-'
 const MDC_EXT = '.mdc'
@@ -30,7 +30,7 @@ export function listManagedMirrors(repoRoot) {
       return {
         id,
         mirrorPath: join(rulesDir, f),
-        canonicalPath: join(repoRoot, 'npm/rules', id, `${id}${MDC_EXT}`)
+        canonicalPath: join(repoRoot, 'npm/rules', id, `main${MDC_EXT}`)
       }
     })
     .filter(m => existsSync(m.canonicalPath))
@@ -41,8 +41,10 @@ export function listManagedMirrors(repoRoot) {
  * @param {string} canonicalPath абсолютний шлях `npm/rules/<id>/<id>.mdc`
  * @returns {Promise<string>} очікуваний текст дзеркала
  */
-export function expectedMirrorContent(canonicalPath) {
-  return inlineTemplateLinks(readFileSync(canonicalPath, 'utf8'), dirname(canonicalPath))
+export async function expectedMirrorContent(canonicalPath) {
+  const dir = dirname(canonicalPath)
+  const withTemplates = await inlineTemplateLinks(readFileSync(canonicalPath, 'utf8'), dir)
+  return inlineMarkdownIncludes(withTemplates, dir)
 }
 
 /**

package/scripts/lib/rule-meta.mjs

@@ -70,7 +70,7 @@ export function parseRuleLintSpec(value) {
  * @returns {Record<string, unknown> | null} обʼєкт або `null` (немає файлу / невалідний JSON / не-обʼєкт)
  */
 export function readRuleMetaRaw(ruleDir) {
-  const metaPath = join(ruleDir, 'meta.json')
+  const metaPath = join(ruleDir, 'main.json')
   if (!existsSync(metaPath)) return null
   try {
     const parsed = JSON.parse(readFileSync(metaPath, 'utf8'))

package/scripts/lib/run-rule.mjs

@@ -81,7 +81,7 @@ export async function runTemplateSubsetConcern(concernAbsDir, target, files, rul
   for (const file of files) {
     const rel = relative(process.cwd(), file) || file
     const actual = await parseByExt(file)
-    const opts = { targetPath: rel, source: `${ruleId}.mdc` }
+    const opts = { targetPath: rel, source: 'main.mdc' }
     const violations = [
       ...(typeof data.snippet === 'string'
         ? checkTextSubset(actual, data.snippet, opts)
@@ -118,7 +118,7 @@ async function runPolicyConcern(bundledRulesDir, ruleId, concernName, walkCache)
     if (target.files.required && target.files.single) {
       const msg =
         target.missingMessage ??
-        `${target.files.single} не існує — створи згідно ${ruleId}.mdc (${ruleId}.${concernName})`
+        `${target.files.single} не існує — створи згідно main.mdc (${ruleId}.${concernName})`
       reporter.fail(msg)
     }
     return reporter.getExitCode()
@@ -182,11 +182,11 @@ export async function runRule(rule, bundledRulesDir, walkCache) {
   }
 
   const ruleDir = join(bundledRulesDir, rule.id)
-  const missing = await findMissingMdcRefs(ruleDir, rule.id)
+  const missing = await findMissingMdcRefs(ruleDir)
   if (missing.length > 0) {
     const reporter = createCheckReporter()
     for (const rel of missing) {
-      reporter.fail(`${rule.id}.mdc: відсутнє markdown-посилання на template-файл ${rel}`)
+      reporter.fail(`main.mdc: відсутнє markdown-посилання на template-файл ${rel}`)
     }
     if (reporter.getExitCode() !== 0) totalCode = 1
   }

package/scripts/lib/skill-meta.mjs

@@ -56,7 +56,7 @@ export function skillRequiresRoot(meta) {
  * @returns {Record<string, unknown> | null} розпарсений обʼєкт або `null` (немає файлу / невалідний JSON / не-обʼєкт)
  */
 export function readSkillMetaRaw(skillDir) {
-  const metaPath = join(skillDir, 'meta.json')
+  const metaPath = join(skillDir, 'main.json')
   if (!existsSync(metaPath)) return null
   try {
     const parsed = JSON.parse(readFileSync(metaPath, 'utf8'))

package/scripts/utils/docs/index.md

@@ -6,18 +6,18 @@ resource: npm/scripts/utils/
 
 # npm/scripts/utils
 
-| Файл                                                        | Тип       |
-| ----------------------------------------------------------- | --------- |
-| [ast-scan-utils.mjs](ast-scan-utils.md)                     | JS Module |
+| Файл | Тип |
+|---|---|
+| [ast-scan-utils.mjs](ast-scan-utils.md) | JS Module |
 | [ensure-gitignore-entries.mjs](ensure-gitignore-entries.md) | JS Module |
-| [find-package-json-paths.mjs](find-package-json-paths.md)   | JS Module |
-| [lock-cache-dir.mjs](lock-cache-dir.md)                     | JS Module |
-| [pass.mjs](pass.md)                                         | JS Module |
-| [resolve-cargo-manifest.mjs](resolve-cargo-manifest.md)     | JS Module |
-| [resolve-cmd.mjs](resolve-cmd.md)                           | JS Module |
-| [resolve-js-root.mjs](resolve-js-root.md)                   | JS Module |
-| [test-helpers.mjs](test-helpers.md)                         | JS Module |
-| [walk-cache.mjs](walk-cache.md)                             | JS Module |
-| [walkDir.mjs](walkDir.md)                                   | JS Module |
-| [with-lock.mjs](with-lock.md)                               | JS Module |
-| [worktree-fingerprint.mjs](worktree-fingerprint.md)         | JS Module |
+| [find-package-json-paths.mjs](find-package-json-paths.md) | JS Module |
+| [lock-cache-dir.mjs](lock-cache-dir.md) | JS Module |
+| [pass.mjs](pass.md) | JS Module |
+| [resolve-cargo-manifest.mjs](resolve-cargo-manifest.md) | JS Module |
+| [resolve-cmd.mjs](resolve-cmd.md) | JS Module |
+| [resolve-js-root.mjs](resolve-js-root.md) | JS Module |
+| [test-helpers.mjs](test-helpers.md) | JS Module |
+| [walk-cache.mjs](walk-cache.md) | JS Module |
+| [walkDir.mjs](walkDir.md) | JS Module |
+| [with-lock.mjs](with-lock.md) | JS Module |
+| [worktree-fingerprint.mjs](worktree-fingerprint.md) | JS Module |

package/scripts/utils/docs/resolve-js-root.md

@@ -3,27 +3,26 @@ type: JS Module
 title: resolve-js-root.mjs
 resource: npm/scripts/utils/resolve-js-root.mjs
 docgen:
-  crc: 2c2b9f11
+  crc: 99e5a8a4
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
 ---
 
-Цей файл визначає кореневий JavaScript-файл проєкту, необхідний для запуску інструментів аналізу коду. Він використовується як у великих проєктах з декількома workspace-ами, так і в окремих пакетах, забезпечуючи єдине місце для визначення кореневого розташування. Це спрощує інтеграцію з інструментами coverage та тестування.
+## Огляд
+
+Визначає корінь JS-коду в проєкті, відповідно до логіки для workspace-projects (перший workspace з підтримкою glob-патернів `cf/*`) або single-package (корінь cwd). Ця утиліта є спільною для coverage-провайдера JS та test-концерну `stryker_config` (DRY). Публічні функції дозволяють отримати один або повний список шляхів до всіх JS-коренів, при цьому свідомо виключаються каталоги `.git` та `node_modules`. Код спирається на конфігураційні файли `package.json` та `.n-cursor.json`.
 
 ## Поведінка
 
-resolveJsRoot: повертає абсолютний шлях до першого JS-кореня проєкту.
-resolveAllJsRoots: повертає масив абсолютних шляхів до всіх JS-коренів проєкту, враховуючи glob-патерни з `workspaces` у кореневому `package.json`. Якщо JS-коренів немає, повертає абсолютний шлях до кореневого каталогу.
+resolveJsRoot повертає абсолютний шлях до першого JS-кореня проєкту. Якщо кореневий `package.json` відсутній, повертає null.
+resolveAllJsRoots повертає масив абсолютних шляхів до всіх JS-коренів проєкту. Ігнорує каталоги `.git` та `node_modules`.
 
 ## Публічний API
 
-- resolveJsRoot — Знаходить кореневий JS-файл проєкту.
-- resolveAllJsRoots — Знаходить всі кореневі JS-файли проєкту. Включає всі workspace-файли та їхні `package.json`, використовуючи glob-патерни. Для single-package повертає поточну директорію.
+resolveJsRoot — знаходить кореневий каталог JavaScript-проєкту.
+resolveAllJsRoots — повертає всі каталоги JavaScript-проєктів у робочому просторі.
 
 ## Гарантії поведінки
 
-- Повертає `true`, якщо кореневий JS-файл знайдено.
-- Повертає `false`, якщо кореневий JS-файл не знайдено.
-- Повертає `null`, якщо не вдалося визначити кореневий JS-файл.
-- Не обробляє помилки, а повертає `false` або `null`.
-- Ігнорує директорії `.git` та `node_modules`.
-- Не використовує кешування.
-- Не здійснює мережевих запитів.
+- Read-only: не виконує операцій запису (ФС/БД).
+- Свідомо пропускає шляхи: `.git`, `node_modules`.

package/types/bin/n-cursor.d.ts

@@ -1,2 +1,2 @@
 #!/usr/bin/env node
-export {}
+export {};

package/rules/abie/abie.mdc

@@ -1,181 +0,0 @@
----
-description: Правила для проєктів AbInBev Efes
-alwaysApply: true
-version: '1.22'
----
-
-Правило **abie** для споживачів **@nitra/cursor**: **k8s** (Deployment + **HealthCheckPolicy** у **`hc.yaml`**, overlay **ua** — **nodeSelector**, **HTTPRoute** (будь-який непорожній **`target.name`**, для спільних сервісів **`auth-run-hl`** / **`file-link-hl`** — **`namespace: dev`** у base та patch **`…/backendRefs/…/namespace`** у **ua**)), гілки **dev**, **ua** у **clean-merged-branch**, а також заборона тримати артефакти **Firebase Hosting** у **підкаталогах першого рівня** (безпосередні діти кореня репозиторію; у самому корені ці імена не вимагаються до видалення).
-
-## k8s: `hc.yaml` поруч із Deployment
-
-Якщо під **`k8s`** є **Deployment**, у **тій самій директорії** має бути **`hc.yaml`** з **HealthCheckPolicy** (**`networking.gke.io/v1`**): коректний modeline **`$schema`**, **`httpHealthCheck.requestPath`** — непорожній шлях від кореня (рядок, що починається з **`/`**: канонічно **`/healthz`**, але також допустимі **`/IsAlive`**, **`/api/live`** тощо — узгоджується з реальним endpoint сервісу), порт **8080**, **`targetRef.name`** — **headless** **Service** з суфіксом **`-hl`** (узгоджено з парою **`svc.yaml`** / **`svc-hl.yaml`** у **k8s.mdc**): або **`${metadata.name}-hl`**, або те саме ім’я, якщо **`metadata.name`** уже з **`-hl`**.
-
-```yaml title="hc.yaml"
-# yaml-language-server: $schema=https://datreeio.github.io/CRDs-catalog/networking.gke.io/healthcheckpolicy_v1.json
-apiVersion: networking.gke.io/v1
-kind: HealthCheckPolicy
-metadata:
-  name: СЕРВІС
-  namespace: dev # kustomize overlay
-spec:
-  default:
-    config:
-      type: HTTP
-      httpHealthCheck:
-        requestPath: /healthz
-        port: 8080
-  targetRef:
-    group: ''
-    kind: Service
-    name: СЕРВІС-hl
-```
-
-## k8s: overlay **HTTPRoute** (**ua**)
-
-За наявності **Deployment** під **k8s** і наявності **Vite** (**`vite.config.js`**, **`vite.config.mjs`** або **`vite.config.ts`** у каталозі пакета) у **`ua/kustomization.yaml`** цього пакета потрібні **inline JSON6902** у **`patches`**: **target** **`kind: HTTPRoute`**, **непорожній `name`** (як у маніфесті маршруту). Мають бути зміни **`/spec/hostnames`** (домени abie — у скрипті) та **`/spec/parentRefs/0/namespace`** (**`ua`**, також дозволені префікси **`ua-*`**, наприклад **`ua-b2b`**). Як обирати **`op`** (**add** / **replace** тощо) у patch — **k8s.mdc** (розділ про JSON patch у kustomization).
-
-### HTTPRoute: спільні сервіси **`auth-run-hl`**, **`file-link-hl`**
-
-У **HTTPRoute** у шляху з **`…/k8s/base/…`** у **`spec.hostnames`** дозволені лише **`aiml.live`**, **`*.aiml.live`** та інші піддомени **aiml.live** (перевірка — Rego-пакет **`abie.http_route_base`**, див. розділ нижче).
-
-Ці **Service** (headless **`-hl`**) живуть у **базовому** неймспейсі **`dev`**. У маніфесті **HTTPRoute** під **`k8s`** (шар без **`ua/`** — наприклад **`…/k8s/base/hr.yaml`**) для кожного **`backendRefs`** до такого сервісу явно вкажи **`namespace: dev`** і порт **8080**:
-
-```yaml title="…/k8s/base/hr.yaml (фрагмент)"
-spec:
-  rules:
-    - matches:
-        - path:
-            type: PathPrefix
-            value: /
-      backendRefs:
-        - name: auth-run-hl
-          namespace: dev
-          port: 8080
-        - name: file-link-hl
-          namespace: dev
-          port: 8080
-```
-
-У **`ua/kustomization.yaml`** додай до того самого **inline** patch на **`HTTPRoute`** (той самий **`target.name`**) операції **JSON6902** з **`path`**: **`/spec/rules/<i>/backendRefs/<j>/namespace`**, де **`<i>`** / **`<j>`** — індекси відповідно до порядку **`spec.rules`** та **`backendRefs`** у base-файлі; **`value`**: **`ua`** (також дозволені **`ua-*`**). Якщо кілька таких **`backendRefs`**, потрібна окрема операція для кожного.
-
-```yaml title="…/ua/kustomization.yaml (фрагмент)"
-  - target:
-      kind: HTTPRoute
-      name: my-httproute
-    patch: |-
-      - op: replace
-        path: /spec/hostnames
-        value:
-          - "abie.app" # зокрема vybeerai.com.ua, *.vybeerai.com.ua, *.abie.app
-      - op: replace
-        path: /spec/parentRefs/0/namespace
-        value: ua
-      - op: replace
-        path: /spec/rules/0/backendRefs/0/namespace
-        value: ua
-      - op: replace
-        path: /spec/rules/0/backendRefs/1/namespace
-        value: ua
-```
-
-## k8s: overlay **ua** і nodeSelector
-
-У **`…/ua/kustomization.yaml`** того пакета, у дереві **`k8s`** якого є **Deployment**, потрібен patch на **`kind: Deployment`**: **`spec.template.spec.nodeSelector`** з **`preem: false`**. Форму **JSON6902** (шлях **`/spec/template/spec/nodeSelector`**, **`op`**) див. **k8s.mdc**.
-
-```yaml title="…/ua/kustomization.yaml (фрагмент)"
-patches:
-  - target:
-      kind: Deployment
-      name: my-app
-    patch: |-
-      - op: add
-        path: /spec/template/spec/nodeSelector
-        value:
-          preem: 'false'
-```
-
-### Базовий Deployment (`…/base/`)
-
-Якщо **Deployment** у YAML під **`k8s`** лежить у шляху з сегментом **`base`**, у **`spec.template.spec.nodeSelector`** має бути **`preem`** зі значенням **істинно** (**`true`** або рядок **`'true'`**); overlay **ua** підміняє селектор.
-
-```yaml title="…/base/deploy.yaml (фрагмент)"
-spec:
-  template:
-    spec:
-      nodeSelector:
-        preem: 'true' # буде замінено через kustomize
-```
-
-## Внутрішньокластерні URL у env-файлах (dev / ua)
-
-Правило стосується **будь-якого** внутрішньокластерного URL у env-файлах abie-проєкту, а не лише `HASURA_GRAPHQL_ENDPOINT`. Це може бути URL до Hasura, KVCMS, `auth-run-hl`, `file-link-hl` чи будь-якого іншого Service у кластері — у всіх випадках DNS-суфікс і namespace-префікс мають відповідати **середовищу** з імені env-файлу.
-
-abie-проєкти живуть у **двох GKE-кластерах** (dev / ua), тож DNS-суфікс і namespace у URL відрізняються між `*.env`-файлами:
-
-| env-файл (basename) | namespace-префікс у URL | DNS-суфікс кластера | примітка |
-| --- | --- | --- | --- |
-| `dev.env`, `.dev.env` | `dev-…` | `abie-dev.internal` | GKE-кластер dev |
-| `ua.env`, `.ua.env` | `ua-…` | `abie-ua.internal` | GKE-кластер ua |
-
-Канонічна форма URL — `http://<service>.<namespace>.svc.<cluster-dns-suffix>:<port>`. Суфікс — `<cluster>.internal`.
-
-Приклади для одного env-файлу з двома сервісами (Hasura + KVCMS):
-
-```env title="hasura/.dev.env"
-HASURA_GRAPHQL_ENDPOINT=http://apruv-h-hl.dev-apruv.svc.abie-dev.internal:8080
-KVCMS_URL=http://kvcms-hl.dev-apruv.svc.abie-dev.internal:8080
-```
-
-```env title="hasura/.ua.env"
-HASURA_GRAPHQL_ENDPOINT=http://apruv-h-hl.ua-apruv.svc.abie-ua.internal:8080
-KVCMS_URL=http://kvcms-hl.ua-apruv.svc.abie-ua.internal:8080
-```
-
-`<namespace>` (наприклад `dev-apruv` / `ua-apruv`) — `metadata.name` цільового namespace після kustomize-overlay для відповідного середовища; `<service>` — `metadata.name` headless Service (`-hl`) того сервісу, до якого йде URL.
-
-**Перевірка `js/env_dns.mjs`** сканує всі `*.env` файли, basename яких збігається з `dev.env` / `ua.env` (з провідною крапкою чи без), знаходить **усі** internal URL (`http://<svc>.<ns>.svc.<dns>` — як для Hasura-ендпоінта, так і для KVCMS чи будь-якого іншого) і вимагає, щоб для кожного:
-
-- DNS-суфікс відповідав env: `abie-dev.internal` / `abie-ua.internal`;
-- namespace починався з `dev-` / `ua-` відповідно.
-
-Загальне правило про **внутрішній** URL (не публічний домен) для `HASURA_GRAPHQL_ENDPOINT` лишається у **`hasura.mdc`** (для nitra і abie) — `rules/hasura/fix.mjs` приймає кластерний DNS-формат `<cluster>.internal`.
-
-## `@nitra/abie-shared` у `devDependencies`
-
-У кореневому **`package.json`** abie-проєкту в **`devDependencies`** має бути **`@nitra/abie-shared`** — пакет зі спільними abie-ресурсами: канонічні GraphQL-схеми, скіли, типи (наприклад, шляхи `node_modules/@nitra/abie-shared/schema/...` для імпорту схем). Версію правило не фіксує — лише presence. Додати:
-
-```bash
-bun add -d @nitra/abie-shared
-```
-
-## Firebase Hosting
-
-У **кожному** підкаталозі, що лежить **безпосередньо** в корені репозиторію, не тримати конфіг і кеш **Firebase Hosting**: у таких каталогах не повинно бути **`.firebaserc`**, **`firebase.json`** та каталогу **`.firebase/`** (у **самому** корені репозиторію ці імена перевіркою abie **не** розглядаються; `node_modules` / `.git` зі скану вилучаються).
-
-## Git branches
-
-У **`.github/workflows/clean-merged-branch.yml`** у кроці **`phpdocker-io/github-actions-delete-abandoned-branches`** значення **`with.ignore_branches`** має містити **dev** та **ua** (разом з іншими гілками, якщо потрібно):
-
-- abie-specific канон (action marker + required ignore_branches tokens): [clean-merged-branch.yml.snippet.yml](./policy/clean_merged_ignore_branches/template/clean-merged-branch.yml.snippet.yml)
-
-## Швидкий gate через conftest (Rego)
-
-Підмножину пер-документних правил продубльовано як rego-полісі у **`npm/rules/abie/policy/`** (запускається через **`bun run lint-rego`** для `*_test.rego` юніт-тестів і через **`npx @nitra/cursor fix abie`** для прогону по реальних YAML — деталі в **conftest.mdc** / **n-rego.mdc**). JS у **`js/<concern>.mjs`** authoritative — rego тільки швидкий gate для одиничного маніфеста (зокрема через IDE-розширення `tsandall.opa`).
-
-Пакети (директорія в **`npm/policy/abie/`** → namespace → що перевіряє):
-
-- **`http_route_base/`** → `abie.http_route_base` — у HTTPRoute під `…/k8s/.../base/...` усі `spec.hostnames` мають бути в домені `aiml.live` (включно з `*.aiml.live` та піддоменами). **Цільові файли:** `…/k8s/.../base/.../hr.yaml`.
-- **`health_check_policy/`** → `abie.health_check_policy` — структура HealthCheckPolicy: `apiVersion: networking.gke.io/v1`, `metadata.name`, `spec.default.config.type: HTTP`, `httpHealthCheck.requestPath` починається з `/`, `port: 8080`, `targetRef.kind: Service`, `targetRef.name` має суфікс `-hl`. **Цільові файли:** `…/k8s/.../hc.yaml`.
-- **`base_deployment_preem/`** → `abie.base_deployment_preem` — Deployment у base/ має `spec.template.spec.nodeSelector.preem` зі значенням `true` (boolean або рядок). **Цільові файли:** ресурсні YAML під `…/k8s/.../base/...`.
-- **`clean_merged_ignore_branches/`** → `abie.clean_merged_ignore_branches` — у workflow `.github/workflows/clean-merged-branch.yml` крок з `uses: phpdocker-io/github-actions-delete-abandoned-branches` має `with.ignore_branches`, що містить токени `dev,ua` (case-insensitive). **Цільові файли:** `.github/workflows/clean-merged-branch.yml`.
-- **`package_json_shared/`** → `abie.package_json_shared` — у кореневому `package.json` `devDependencies` має містити `@nitra/abie-shared` (presence-only, версію не фіксуємо). **Цільові файли:** `package.json`.
-
-Cross-file / FS-логіка лишається у JS-частинах (`js/<concern>.mjs`) — Rego не читає файлову систему й не робить cross-document резолюцію:
-
-- парність HCP↔Deployment у каталозі та modeline `hc.yaml` — `js/hc_pairing.mjs`;
-- валідація ua-overlay JSON6902 patches на HTTPRoute + аналіз cross-namespace `backendRefs` у пакетах — `js/ua_http_route.mjs`;
-- ua-overlay JSON6902 patch на `Deployment.nodeSelector` (`preem: false`) — `js/ua_node_selector.mjs`;
-- env→cluster DNS (`*.dev.env` / `*.ua.env`) — `js/env_dns.mjs`;
-- скан артефактів Firebase Hosting у підкаталогах першого рівня — `js/firebase_hosting.mjs`.
-
-Точна звірка `targetRef.name` HealthCheckPolicy з суфіксом `-hl` обчислюється з `hcp.metadata.name` і живе у Rego (`abie.health_check_policy`); за конвенцією `hcp.metadata.name` дорівнює `<deployment.name>`, тому окремий cross-file lookup до маніфесту Deployment не потрібен.