@nitra/cursor 12.8.9 → 12.10.0

package/rules/rust/policy/package_json/package_json.mdc

@@ -0,0 +1,12 @@
+## Rego-gate: `cargo`, `rustfmt`, `clippy` заборонені у `package.json`
+
+Rego-пакет: `rust.package_json`
+
+Цільовий файл: `package.json`
+
+`cargo`, `rustfmt` і `clippy` — це частина **Rust toolchain**, а не npm-пакети. Вони **не додаються** у `dependencies`, `devDependencies` або `peerDependencies`. Встановлення:
+
+- **локально** — через `rustup` (`rustup component add rustfmt clippy`);
+- **у CI** — через крок `dtolnay/rust-toolchain@stable` із `with.components: rustfmt, clippy`.
+
+Gate видає deny, якщо `cargo`, `rustfmt` або `clippy` з'являється у будь-якій секції залежностей `package.json`.

package/rules/rust/policy/package_json/package_json.rego

@@ -0,0 +1,20 @@
+# Перевірка `package.json` для Rust-проєктів (rust.mdc / lint.mdc).
+#
+# `cargo`, `rustfmt`, `clippy` — частина Rust toolchain (rustup), не npm-залежностей.
+# Вони мають бути у PATH через `rustup` локально або `dtolnay/rust-toolchain@stable` у CI.
+package rust.package_json
+
+import rego.v1
+
+banned_rust_tools := {"cargo", "rustfmt", "clippy"}
+
+deny contains msg if {
+	some field in {"dependencies", "devDependencies", "peerDependencies"}
+	deps := object.get(input, field, {})
+	some name, _ in deps
+	name in banned_rust_tools
+	msg := sprintf(
+		"package.json: %s.%s заборонений — Rust toolchain встановлюється через rustup / dtolnay/rust-toolchain@stable, не через npm (rust.mdc)",
+		[field, name]
+	)
+}

package/rules/rust/policy/package_json/target.json

@@ -0,0 +1,4 @@
+{
+  "$schema": "https://unpkg.com/@nitra/cursor/schemas/target.json",
+  "files": { "single": "package.json", "required": false }
+}

package/rules/security/docs/index.md

@@ -8,5 +8,4 @@ resource: npm/rules/security/
 
 | Файл                | Тип       |
 | ------------------- | --------- |
-| [fix.mjs](fix.md)   | JS Module |
 | [main.mjs](main.md) | JS Module |

package/rules/security/docs/main.md

@@ -8,8 +8,6 @@ docgen:
   score: 100
 ---
 
-## Огляд
-
 Модуль виконує перевірку якості коду та безпеки репозиторію, спираючись на конфігурації, визначені у meta.json. Функція `run` застосовує політики та посилання на MDC для виконання перевірки. Функція `lint` сканує файлову систему репозиторію на наявність секретів. Обидві функції мають публічний статус, а кешування відбувається у межах одного прогону.
 
 ## Поведінка

package/rules/security/js/docs/index.md

@@ -8,6 +8,5 @@ resource: npm/rules/security/js/
 
 | Файл                                  | Тип       |
 | ------------------------------------- | --------- |
-| [lint.mjs](lint.md)                   | JS Module |
 | [sample_secret.mjs](sample_secret.md) | JS Module |
 | [trufflehog.mjs](trufflehog.md)       | JS Module |

package/rules/security/main.mdc

@@ -6,19 +6,6 @@ version: '2.1'
 ---
 
 Правило **security** забезпечує сканування секретів через [TruffleHog](https://github.com/trufflesecurity/trufflehog) локально та на CI, а також правильне використання placeholder-значень у прикладних файлах.
-
-[security-trufflehog](./js/trufflehog.mdc)
-
-[security-sample-secret](./js/sample_secret.mdc)
-
-[security-rego-policies](./js/rego_policies.mdc)
-
-## Швидкий gate через conftest
-
-[security-package-json](./policy/package_json/package_json.mdc)
-
-[security-lint-security-yml](./policy/lint_security_yml/lint_security_yml.mdc)
-
 ## Перевірка
 
 `npx @nitra/cursor fix security`

package/rules/style/docs/index.md

@@ -8,5 +8,4 @@ resource: npm/rules/style/
 
 | Файл                | Тип       |
 | ------------------- | --------- |
-| [fix.mjs](fix.md)   | JS Module |
 | [main.mjs](main.md) | JS Module |

package/rules/style/docs/main.md

@@ -8,8 +8,6 @@ docgen:
   score: 100
 ---
 
-## Огляд
-
 Модуль реалізує логіку для виконання правил, фільтрації файлів за розширеннями та запуску стильового лінтера. Функція `run` виконує визначені правила. `filterStyleFiles` обробляє файли, вибираючи їх на основі розширень. `lint` запускає перевірку стилю.
 
 ## Поведінка

package/rules/style/js/docs/index.md

@@ -8,5 +8,4 @@ resource: npm/rules/style/js/
 
 | Файл                      | Тип       |
 | ------------------------- | --------- |
-| [lint.mjs](lint.md)       | JS Module |
 | [tooling.mjs](tooling.md) | JS Module |

package/rules/style/js/docs/tooling.md

@@ -3,25 +3,27 @@ type: JS Module
 title: tooling.mjs
 resource: npm/rules/style/js/tooling.mjs
 docgen:
-  crc: bc2b0934
-  score: 80
+  crc: 27bb12d3
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 95
 ---
 
-Файл виконує перевірку конфігурації stylelint та файлів, пов'язаних з лінтуванням. Перевірка включає наявність конфігурації stylelint у `package.json` або зовнішньому файлі, файлів конфігу stylelint у директорії, файлів ігнорування stylelint та файлу workflow для лінтування.
+Перевіряє налаштування для стилістичного лінтера, підтверджуючи наявність файлів конфігурації, таких як `.stylelintrc.json` та `package.json`. Це забезпечує коректний запуск перевірок відповідно до вимог, визначених у `.stylelintrc.json` та `settings.json`. (js.mdc), (style.mdc)
 
 ## Поведінка
 
-1. Перевірити наявність конфігурації stylelint у package.json або зовнішньому файлі
-2. Перевірити наявність файлів конфігу stylelint у директорії
-3. Перевірити наявність файлів ігнорування stylelint
-4. Перевірити наявність файлу workflow для лінтування
+1. Викликається функція check.
+2. Перевіряється наявність конфігурації stylelint у package.json або зовнішньому файлі (наприклад, .stylelintrc.json, .stylelintrc.js, stylelint.config.js). Якщо конфігурація відсутня, повідомляється про необхідність додати її до package.json (js.mdc).
+3. Якщо існує файл .stylelintignore, перевіряється, чи містить він рядок `dist/`. Якщо ні, повідомляється про необхідність додати цей рядок (style.mdc).
+4. Перевіряється наявність файлу .github/workflows/lint-style.yml. Якщо він відсутній, повідомляється про необхідність його створення.
+5. Функція повертає код виходу, що відображає загальний статус перевірки.
+6. Перевірка не включає шляхи .github та .git.
 
 ## Публічний API
 
-check — Перевіряє відповідність проєкту правилам style.mdc
+check — перевіряє відповідність проєкту стандартам оформлення (style.mdc).
 
 ## Гарантії поведінки
 
-- Read-only: файл не виконує операцій запису у файлову систему.
+- Read-only: не виконує операцій запису (ФС/БД).
 - Свідомо пропускає шляхи: `.github`, `.git`.
-- Не звертається до мережі.

package/rules/style/js/tooling.mjs

@@ -54,8 +54,14 @@ export async function check(cwd = process.cwd()) {
 
   await checkStylelintConfigPresence(reporter, cwd)
 
-  if (existsSync(join(cwd, '.stylelintignore'))) {
-    pass('.stylelintignore існує')
+  const ignorePath = join(cwd, '.stylelintignore')
+  if (existsSync(ignorePath)) {
+    const ignoreContent = await readFile(ignorePath, 'utf8')
+    if (ignoreContent.split('\n').some(line => line.trim() === 'dist/')) {
+      pass('.stylelintignore існує і містить dist/')
+    } else {
+      fail('.stylelintignore не містить рядка dist/ — додай його (style.mdc)')
+    }
   } else {
     fail('.stylelintignore не існує — створи з вмістом: dist/')
   }

package/rules/style/main.mdc

@@ -5,26 +5,4 @@ globs: "**/*.{css,scss,vue}"
 alwaysApply: false
 ---
 
-Правило **style** для Vue-проєктів: Quasar як стильова система, SCSS-конвенції кольорів і відступів, фікси компонентів, stylelint через `@nitra/stylelint-config`.
-
-[style-quasar](./js/quasar.mdc)
-
-[style-colors](./js/colors.mdc)
-
-[style-gap](./js/gap.mdc)
-
-[style-quasar-fixes](./js/quasar-fixes.mdc)
-
-[style-tooling](./js/tooling.mdc)
-
-[style-admin-table](./js/admin-table.mdc)
-
-## Швидкий gate через conftest (Rego)
-
-[style-lint_style_yml](./policy/lint_style_yml/lint_style_yml.mdc)
-
-[style-package_json](./policy/package_json/package_json.mdc)
-
-[style-vscode_extensions](./policy/vscode_extensions/vscode_extensions.mdc)
-
-[style-vscode_settings](./policy/vscode_settings/vscode_settings.mdc)
+Правило **style** для Vue-проєктів: Quasar як стильова система, SCSS-конвенції кольорів і відступів, фікси компонентів, stylelint через `@nitra/stylelint-config`.

package/rules/style/policy/lint_style_yml/lint_style_yml.rego

@@ -26,6 +26,11 @@ deny contains msg if {
 	msg := sprintf("lint-style.yml: жоден крок run не містить %q (style.mdc)", [expected_run_blob])
 }
 
+deny contains msg if {
+	contains(all_run_text, "bunx stylelint")
+	msg := "lint-style.yml: знайдено bunx stylelint — використовуй n-cursor lint style --read-only (style.mdc)"
+}
+
 step_run_to_text(step) := step.run if is_string(step.run)
 
 else := concat("\n", [s | some s in step.run]) if is_array(step.run)

package/rules/tauri/docs/index.md

@@ -8,5 +8,4 @@ resource: npm/rules/tauri/
 
 | Файл                | Тип       |
 | ------------------- | --------- |
-| [fix.mjs](fix.md)   | JS Module |
 | [main.mjs](main.md) | JS Module |

package/rules/tauri/docs/main.md

@@ -8,8 +8,6 @@ docgen:
   score: 100
 ---
 
-## Огляд
-
 Модуль обробляє JS-запити та взаємодіє з MDC для отримання даних. При запуску через публічну функцію `run` він оркеструє застосування правил, завантажуючи конфігурації з meta.json, застосовуючи білий список та надаючи підсумок. Модуль є read-only і не здійснює записів у ФС/БД.
 
 ## Поведінка

package/rules/tauri/main.mdc

@@ -5,14 +5,4 @@ alwaysApply: false
 version: '1.5'
 ---
 
-Правило встановлює канонічні вимоги для Tauri-проєктів: виявлення маркерів у монорепо, VS Code-розширення, налаштування mutation-testing для platform bridge та реалізацію Tool Surface поверх Tauri+Rust.
-
-## Швидкий gate через conftest
-
-[tauri-vscode_extensions](./policy/vscode_extensions/vscode_extensions.mdc)
-
-[tauri-tooling](./js/tooling.mdc)
-
-[tauri-cargo_mutants_config](./js/cargo_mutants_config.mdc)
-
-[tauri-tool_surface](./js/tool_surface.mdc)
+Правило встановлює канонічні вимоги для Tauri-проєктів: виявлення маркерів у монорепо, VS Code-розширення, налаштування mutation-testing для platform bridge та реалізацію Tool Surface поверх Tauri+Rust.

package/rules/test/docs/index.md

@@ -8,5 +8,4 @@ resource: npm/rules/test/
 
 | Файл                | Тип       |
 | ------------------- | --------- |
-| [fix.mjs](fix.md)   | JS Module |
 | [main.mjs](main.md) | JS Module |

package/rules/test/docs/main.md

@@ -8,8 +8,6 @@ docgen:
   score: 100
 ---
 
-## Огляд
-
 Модуль виконує перевірку, обробляючи JS-запитання, політику та посилання на mdc. При запуску як окрема програма, він зчитує конфігурації з meta.json, застосовує білий список та підсумовує результати після застосування білого списку, визначаючи код виходу процесу. Функція run ініціює цей процес. Модуль є read-only і не пише у ФС/БД. Кешування відбувається у межах прогону.
 
 ## Поведінка

package/rules/test/js/docs/index.md

@@ -10,7 +10,9 @@ resource: npm/rules/test/js/
 | ----------------------------------------------------------- | --------- |
 | [cargo_mutants_config.mjs](cargo_mutants_config.md)         | JS Module |
 | [location.mjs](location.md)                                 | JS Module |
+| [no-console-store-restore.mjs](no-console-store-restore.md) | JS Module |
 | [no-process-chdir.mjs](no-process-chdir.md)                 | JS Module |
 | [no-relative-fs-path.mjs](no-relative-fs-path.md)           | JS Module |
+| [sandbox-aware-test.mjs](sandbox-aware-test.md)             | JS Module |
 | [stryker_config.mjs](stryker_config.md)                     | JS Module |
 | [vitest-config-pool-forks.mjs](vitest-config-pool-forks.md) | JS Module |

package/rules/test/js/docs/no-console-store-restore.md

@@ -0,0 +1,30 @@
+---
+type: JS Module
+title: no-console-store-restore.mjs
+resource: npm/rules/test/js/no-console-store-restore.mjs
+docgen:
+  crc: 39f9fb6d
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+---
+
+Модуль сканує репозиторій для пошуку файлів, що відповідають шаблону `*.test.{mjs,js}`. Він перевіряє вміст кожного такого файлу на наявність прямих присвоєнь методів консолі. Публічна функція `check` виявляє такі присвоєння. (test.mdc)
+
+## Поведінка
+
+1. Визначає, які файли є тестовими (`*.test.{mjs,js}`).
+2. Збирає список усіх тестових файлів у репозиторії, ігноруючи конфігураційні шляхи.
+3. Для кожного тестового файлу зчитує його вміст.
+4. Аналізує вміст файлу, шукаючи прямі присвоєння `console.<method> = …`.
+5. Якщо порушення знайдено, реєструє його з зазначенням файлу та номера рядка.
+6. Якщо порушень немає, повідомляє про успішну перевірку (test.mdc).
+7. Якщо порушення знайдено, повідомляє про кожне порушення, вказуючи, що пряме присвоєння заборонено і слід використовувати `vi.spyOn.mockReturnValue` (test.mdc, no-console-store-restore).
+8. Повертає код виходу, що відображає результат перевірки.
+
+## Публічний API
+
+check — виявляє, чи не перевизначає жоден тестовий файл методи `console.*` через пряме присвоєння.
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/test/js/docs/sandbox-aware-test.md

@@ -0,0 +1,30 @@
+---
+type: JS Module
+title: sandbox-aware-test.mjs
+resource: npm/rules/test/js/sandbox-aware-test.mjs
+docgen:
+  crc: 0c64c75c
+  model: omlx/gemma-4-e4b-it-OptiQ-4bit
+  score: 100
+---
+
+Модуль сканує тестові файли, що відповідають шаблону `*.test.{mjs,js}` у вказаному корені репозиторію. Він перевіряє, чи файли, що містять глибоку навігацію (визначену як використання `import.meta.dirname` або `import.meta.url` з чотирма або більше рівнями `..`), захищені викликом `withTmpDir` або `test.skipIf` з посиланням на змінну середовища `env.STRYKER_MUTATOR_WORKER`. Перевірка фіксує порушення (test.mdc) у разі відсутності необхідної ізоляції для тестових файлів з глибокою навігацією.
+
+## Поведінка
+
+1. Визначає тестові файли, що відповідають шаблону `*.test.{mjs,js}` у вказаному корені репозиторію.
+2. Для кожного тестового файлу перевіряє, чи містить він глибоку навігацію за допомогою `import.meta.dirname` або `import.meta.url` з чотирма або більше рівнями `..`.
+3. Якщо глибока навігація виявлена, перевіряє, чи захищено цей файл викликом `withTmpDir` або `test.skipIf` з посиланням на `env.STRYKER_MUTATOR_WORKER`.
+4. Якщо глибока навігація виявлена, але файл не захищений, він реєструється як порушення (test.mdc).
+5. Викликає `check` для запуску перевірки.
+6. Якщо порушень немає, повідомляє про успішне виконання (test.mdc).
+7. Якщо порушення виявлено, повідомляє про кожен виявлений файл та необхідність застосування ізоляції.
+8. Повертає код виходу, що відображає результат перевірки.
+
+## Публічний API
+
+check — Виявляє тести, що використовують глибоку навігацію `import.meta` (≥4 `..`-рівнів) і не захищені механізмами `withTmpDir` або `test.skipIf`. Це запобігає збоям Git-операцій у тестах, які не мають ізоляції Stryker-sandbox. (test.mdc)
+
+## Гарантії поведінки
+
+- Read-only: не виконує операцій запису (ФС/БД).

package/rules/test/js/docs/stryker_config.md

@@ -8,8 +8,6 @@ docgen:
   score: 100
 ---
 
-## Огляд
-
 Модуль перевіряє готовність JavaScript-проєктів до виконання тестів. Він збирає кореневі каталоги проєктів, використовуючи публічну функцію `check` для валідації. Перевірка гарантує наявність необхідних конфігураційних файлів, зокрема `mutation.json` та `package.json`, у кожному знайденому проєкті. Модуль свідомо пропускає каталоги `node_modules`. Він також додає відповідні артефакти тестів до `.gitignore` у коренях проєктів. (test.mdc)
 
 ## Поведінка

package/rules/test/js/docs/vitest-config-pool-forks.md

@@ -8,8 +8,6 @@ docgen:
   score: 100
 ---
 
-## Огляд
-
 Визначає шлях до конфігураційного файлу Vitest. Перевіряє, чи встановлено в цьому файлі `pool: 'forks'`. (test.mdc)
 
 Поведінка:

package/rules/test/js/no-console-store-restore.mjs

@@ -0,0 +1,88 @@
+/** @see ./docs/no-console-store-restore.md */
+import { readFile } from 'node:fs/promises'
+import { basename, relative } from 'node:path'
+
+import { createCheckReporter } from '../../../scripts/lib/check-reporter.mjs'
+import { loadCursorIgnorePaths } from '../../../scripts/lib/load-cursor-config.mjs'
+import { walkDir } from '../../../scripts/utils/walkDir.mjs'
+
+/**
+ * Ловить пряме присвоєння `console.<method> = …` у `*.test.{js,mjs}`.
+ * `console.log = fn` — process-wide мутація; канон: `vi.spyOn(console, 'log')`.
+ * `(?!=)` виключає `==` та `===` (лише одиночний `=`).
+ */
+const CONSOLE_ASSIGN_RE =
+  /\bconsole\.(?:log|error|warn|info|debug|dir|table|trace|group|groupEnd|time|timeEnd)\s*=(?!=)/u
+
+/**
+ * Чи файл — JS-тест (`*.test.mjs` / `*.test.js`).
+ * @param {string} absPath абсолютний шлях
+ * @returns {boolean} `true` для `.test.{mjs,js}` файлів
+ */
+function isTestFile(absPath) {
+  const name = basename(absPath)
+  return name.endsWith('.test.mjs') || name.endsWith('.test.js')
+}
+
+/**
+ * Знаходить рядки з прямим присвоєнням `console.<method> = …`.
+ * @param {string} body вміст файлу
+ * @returns {Array<{line: number}>} знайдені порушення
+ */
+function findOffenders(body) {
+  const offenders = []
+  const lines = body.split('\n')
+  for (const [i, line] of lines.entries()) {
+    if (CONSOLE_ASSIGN_RE.test(line)) {
+      offenders.push({ line: i + 1 })
+    }
+  }
+  return offenders
+}
+
+/**
+ * Перевіряє, що жоден `*.test.{mjs,js}` файл не перевизначає `console.<method>`
+ * через пряме присвоєння. Канон — `vi.spyOn(console, 'log').mockReturnValue()`.
+ * @param {string} [cwdParam] корінь репозиторію
+ * @returns {Promise<number>} 0 — чисто, 1 — є порушення
+ */
+export async function check(cwdParam = process.cwd()) {
+  const reporter = createCheckReporter()
+  const { pass, fail } = reporter
+
+  const cwd = cwdParam
+  const ignorePaths = await loadCursorIgnorePaths(cwd)
+
+  /** @type {string[]} */
+  const testFiles = []
+  await walkDir(
+    cwd,
+    absPath => {
+      if (isTestFile(absPath)) testFiles.push(absPath)
+    },
+    ignorePaths
+  )
+
+  /** @type {Array<{file: string, line: number}>} */
+  const offenders = []
+  for (const absPath of testFiles) {
+    const body = await readFile(absPath, 'utf8')
+    for (const o of findOffenders(body)) {
+      offenders.push({ file: relative(cwd, absPath), ...o })
+    }
+  }
+
+  if (offenders.length === 0) {
+    pass(`Жоден з ${testFiles.length} тестових файлів не присвоює console.<method> = … (test.mdc)`)
+    return reporter.getExitCode()
+  }
+
+  for (const { file, line } of offenders) {
+    fail(
+      `${file}:${line}: пряме присвоєння console.<method> = … заборонено — ` +
+        `використовуй vi.spyOn(console, 'method').mockReturnValue() (test.mdc, no-console-store-restore)`
+    )
+  }
+
+  return reporter.getExitCode()
+}

package/rules/test/js/sandbox-aware-test.mjs

@@ -0,0 +1,89 @@
+/** @see ./docs/sandbox-aware-test.md */
+import { readFile } from 'node:fs/promises'
+import { basename, relative } from 'node:path'
+
+import { createCheckReporter } from '../../../scripts/lib/check-reporter.mjs'
+import { loadCursorIgnorePaths } from '../../../scripts/lib/load-cursor-config.mjs'
+import { walkDir } from '../../../scripts/utils/walkDir.mjs'
+
+/**
+ * Чи файл — JS-тест (`*.test.mjs` / `*.test.js`).
+ * @param {string} absPath абсолютний шлях
+ * @returns {boolean} `true` для `.test.{mjs,js}` файлів
+ */
+function isTestFile(absPath) {
+  const name = basename(absPath)
+  return name.endsWith('.test.mjs') || name.endsWith('.test.js')
+}
+
+/**
+ * Чи файл містить `import.meta.dirname`/`import.meta.url`-навігацію з ≥4 `..`-рівнів.
+ * Для кожного вживання `import.meta.dirname|url` рахує `'..'`/`".."` у вікні 400 символів.
+ * @param {string} body вміст файлу
+ * @returns {boolean} `true` якщо знайдено глибоку навігацію
+ */
+function hasDeepMetaNavigation(body) {
+  const RE = /import\.meta\.(?:dirname|url)\b/gu
+  let match
+  while ((match = RE.exec(body)) !== null) {
+    const chunk = body.slice(match.index, match.index + 400)
+    const dots = (chunk.match(/'\.\.'|"\.\."/gu) ?? []).length
+    if (dots >= 4) return true
+  }
+  return false
+}
+
+/** Захист через тимчасову пісочницю — `withTmpDir`. */
+const WITH_TMP_DIR_RE = /\bwithTmpDir\b/u
+
+/** Захист через явний skip у Stryker-sandbox (`test.skipIf`). */
+const SKIP_IF_STRYKER_RE = /\btest\.skipIf\s*\(\s*(?:env|process\.env)\.STRYKER_MUTATOR_WORKER\b/u
+
+/**
+ * Перевіряє, що `*.test.{mjs,js}` з глибокою `import.meta`-навігацією (≥4 `..`-рівнів)
+ * захищені `withTmpDir` або `test.skipIf(env.STRYKER_MUTATOR_WORKER)`.
+ * Без ізоляції Stryker-sandbox (`reports/stryker/.tmp/sandbox-XXX/`) не має `.git/`,
+ * тому git-операції у таких тестах падають і мутаційний прогін не стартує.
+ * @param {string} [cwdParam] корінь репозиторію
+ * @returns {Promise<number>} 0 — чисто, 1 — є порушення
+ */
+export async function check(cwdParam = process.cwd()) {
+  const reporter = createCheckReporter()
+  const { pass, fail } = reporter
+
+  const cwd = cwdParam
+  const ignorePaths = await loadCursorIgnorePaths(cwd)
+
+  /** @type {string[]} */
+  const testFiles = []
+  await walkDir(
+    cwd,
+    absPath => {
+      if (isTestFile(absPath)) testFiles.push(absPath)
+    },
+    ignorePaths
+  )
+
+  /** @type {string[]} */
+  const offenders = []
+  for (const absPath of testFiles) {
+    const body = await readFile(absPath, 'utf8')
+    if (!hasDeepMetaNavigation(body)) continue
+    if (WITH_TMP_DIR_RE.test(body) || SKIP_IF_STRYKER_RE.test(body)) continue
+    offenders.push(relative(cwd, absPath))
+  }
+
+  if (offenders.length === 0) {
+    pass(`Усі ${testFiles.length} тестові файли sandbox-aware (test.mdc)`)
+    return reporter.getExitCode()
+  }
+
+  for (const file of offenders) {
+    fail(
+      `${file}: import.meta deep navigation (≥4 рівні ..) без ізоляції — ` +
+        `оберни у withTmpDir() або захисти test.skipIf(env.STRYKER_MUTATOR_WORKER) (test.mdc, sandbox-aware-test)`
+    )
+  }
+
+  return reporter.getExitCode()
+}

package/rules/test/main.mdc

@@ -7,22 +7,6 @@ alwaysApply: false
 
 Правило **test** керує розміщенням тестових файлів, безпекою ізоляції тестів (заборона `process.chdir`, відносних шляхів у FS, ручного store/restore console), налаштуванням Vitest/Stryker baseline та конфігурацією cargo-mutants для Rust.
 
-[test-location](./js/location.mdc)
-
-[test-no-process-chdir](./js/no-process-chdir.mdc)
-
-[test-no-relative-fs-path](./js/no-relative-fs-path.mdc)
-
-[test-no-console-store-restore](./js/no-console-store-restore.mdc)
-
-[test-sandbox-aware-test](./js/sandbox-aware-test.mdc)
-
-[test-vitest-config-pool-forks](./js/vitest-config-pool-forks.mdc)
-
-[test-stryker-config](./js/stryker_config.mdc)
-
-[test-cargo-mutants-config](./js/cargo_mutants_config.mdc)
-
 ## Покриття + мутаційне тестування
 
 Канонічна команда — `n-cursor coverage`: збирає метрики покриття (`vitest run --coverage`, `cargo llvm-cov` тощо) і мутаційного тестування (Stryker з vitest-runner + `coverageAnalysis: 'perTest'`, `cargo-mutants`) з усіх активних провайдерів у `.n-cursor.json#rules` і пише `COVERAGE.md` у корінь проєкту.
@@ -35,8 +19,4 @@ alwaysApply: false
 
 ### Multi-workspace iteration
 
-У monorepo `n-cursor coverage` ітерує усі workspaces з власним `package.json` і агрегує метрики lcov + Stryker у єдиний `JS`-рядок `COVERAGE.md`. Workspace без тестів пропускається без помилки.
-
-## Швидкий gate через conftest
-
-[test-package_json](./policy/package_json/package_json.mdc)
+У monorepo `n-cursor coverage` ітерує усі workspaces з власним `package.json` і агрегує метрики lcov + Stryker у єдиний `JS`-рядок `COVERAGE.md`. Workspace без тестів пропускається без помилки.

package/rules/text/docs/index.md

@@ -8,5 +8,4 @@ resource: npm/rules/text/
 
 | Файл                | Тип       |
 | ------------------- | --------- |
-| [fix.mjs](fix.md)   | JS Module |
 | [main.mjs](main.md) | JS Module |

package/rules/text/docs/main.md

@@ -8,8 +8,6 @@ docgen:
   score: 90
 ---
 
-## Огляд
-
 Цей модуль є CLI-обгорткою над канонічним `lint-text` (text.mdc) та викликається через `n-cursor lint text` (оркестраторний адаптер `lint`). Він автоматично встановлює необхідні інструменти (`shellcheck`, `dotenv-linter`) через `ensureTool` (brew/scoop/GitHub Release per-platform) та перевіряє наявність `patch` (для авто-фіксу shellcheck). Функція `runLintTextCli` послідовно виконує: 1) перевірку правопису з `@nitra/cspell-dict` (`cspell .`); 2) авто-фікс та фінальну перевірку `.sh` файлів (`shellcheck`); 3) авто-фікс та фінальну перевірку `.env*` файлів (`dotenv-linter`); 4) авто-фікс Markdown-документів (`markdownlint-cli2 --fix "**\/*.md" "**\/*.mdc"`); 5) schema-валідацію JSON/YAML/TOML через `v8r`. При першому ненульовому коді з ланцюжка повертається код виходу, і наступні кроки не запускаються. Конфігурації, на які спирається код: meta.json.
 
 ## Поведінка

package/rules/text/js/docs/cspell-fix.md

@@ -8,8 +8,6 @@ docgen:
   score: 100
 ---
 
-## Огляд
-
 Модуль інтегрує cspell у ланцюжку lint-text для класифікації невідомих слів згідно зі схемою docs/specs/2026-06-15-opportunistic-llm-fix-tier.md. Він виявляє невідомі слова, класифікує їх за допомогою LLM у межах omlx-класифікації. Валідні слова автоматично дописуються до `.cspell.json#words` (відповідно до конфігурацій .cspell.json та meta.json). Невалідні знахідки залишаються для ручного рев'ю. Процес є read-only (нуль мутацій), оскільки fix-режим не переписує файли, а лише класифікує знахідки. Після дописування словника виконується re-detect. Гейт-механізм гарантує, що cspell поверне ненульовий код, якщо нерозкласифіковані або потенційні одруки залишилися.
 
 ## Поведінка

package/rules/text/js/docs/run-dotenv-linter.md

@@ -8,8 +8,6 @@ docgen:
   score: 100
 ---
 
-## Огляд
-
 Модуль запускає `dotenv-linter` для валідації конфігураційних файлів `.env*` відповідно до стандартів (наприклад, `LowercaseKey`). Процес включає два етапи: спочатку автоматичне виправлення порушень за допомогою `dotenv-linter fix`, а потім фінальну перевірку за допомогою `dotenv-linter check`. Інструмент очікується у системному PATH і не включається у залежності проєкту. Він рекурсивно шукає файли, виключаючи `node_modules` та `.envrc`. Якщо `dotenv-linter` відсутній, виводиться інструкція щодо його встановлення (наприклад, `brew install dotenv-linter`) та повертається код помилки. Усі деталі роботи можна знайти за посиланням https://git.io/JLbXn.
 
 ## Поведінка

package/rules/text/js/docs/run-shellcheck.md

@@ -8,8 +8,6 @@ docgen:
   score: 100
 ---
 
-## Огляд
-
 Скрипт забезпечує відповідність shell-скриптів стандартам, виконуючи дві послідовні дії: спочатку застосовує автоматичні виправлення для проблем, виявлених `shellcheck` за допомогою формату виводу `diff` та команди `patch -p1` у корені проєкту; потім проводить фінальну перевірку всіх зібраних файлів. Скрипт збирає всі відстежувані shell-скрипти у робочому дереві, ігноруючи директорії `node_modules`. Якщо скриптів не знайдено, процес завершується з кодом 0. Якщо `shellcheck` або `patch` відсутні у PATH, скрипт завершується з кодом 1, надаючи підказки для їх встановлення. Після циклу автовиправлень будь-яке попередження чи помилка від `shellcheck` призводить до ненульового коду виходу.
 
 ## Поведінка

package/rules/text/js/docs/run-v8r.md

@@ -8,8 +8,6 @@ docgen:
   score: 100
 ---
 
-## Огляд
-
 Скрипт виконує єдиний виклик `v8r` для перевірки відповідності всіх файлів, які підтримує `v8r` (json, json5, yaml, yml, toml), визначеним контрактам. Це замінює необхідність у кількох окремих викликах `v8r`. Скрипт автоматично використовує каталог схем `@nitra/cursor`, який визначається у `v8r-catalog.json`. Якщо не надано додаткових аргументів, він шукає файли за типовими шаблонами у дереві проєкту. Механізм гарантує, що перевірка всіх розширень відбувається, навіть якщо один із глобів не знаходить файлів, оскільки він обходить проблему падіння `v8r` з кодом 98.
 
 ## Поведінка