@nitra/cursor 3.10.0 → 3.11.0

package/CHANGELOG.md

@@ -1,5 +1,11 @@
 # Changelog
 
+## [3.11.0] - 2026-06-02
+
+### Changed
+
+- coverage: scoped режим --changed — flow-турнікет (DEFAULT_GATES) перевіряє лише змінені від base_commit файли (vitest --changed + Stryker --mutate), однаково для закомічених і незакомічених змін; повний coverage лишається для bun run coverage / n-coverage-fix
+
 ## [3.10.0] - 2026-06-01
 
 ### Added

package/bin/n-cursor.js

@@ -1527,9 +1527,10 @@ try {
     }
     case 'coverage': {
       // n-cursor coverage — оркестратор покриття + мутаційного тестування з discovery
-      // провайдерів через .n-cursor.json#rules (test.mdc).
+      // провайдерів через .n-cursor.json#rules (test.mdc). --changed звужує scope до
+      // змінених від base файлів (flow-турнікет: лише vitest/Stryker по diff).
       const { runCoverageCli } = await import('../rules/test/coverage/coverage.mjs')
-      process.exitCode = await runCoverageCli({ fix: args.includes('--fix') })
+      process.exitCode = await runCoverageCli({ fix: args.includes('--fix'), changed: args.includes('--changed') })
 
       break
     }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nitra/cursor",
-  "version": "3.10.0",
+  "version": "3.11.0",
   "description": "CLI для завантаження cursor-правил (префікс n-) у локальний репозиторій",
   "keywords": [
     "cli",

package/rules/flow/flow.mdc

@@ -78,9 +78,12 @@ Composer, Claude Code) працює **Пасивний Турнікет**: ти,
    npx @nitra/cursor flow verify
    ```
 
-   Проганяє Quality Gate (lint). Повертає `0` (pass) або `1` із виводом
-   проваленого gate. Coverage (тести + Stryker-мутації) **поза** turnstile —
-   запускай окремо `npx @nitra/cursor coverage` або в CI.
+   Проганяє Quality Gates (lint + coverage). Повертає `0` (pass) або `1` із
+   виводом проваленого gate. **Обидва гейти перевіряють лише змінені файли**
+   (diff від `base_commit`): `lint` — quick-режим, `coverage --changed` — vitest
+   `--changed` + Stryker `--mutate` по diff. Працює однаково, незалежно від того,
+   чи зміни вже закомічені у worktree. Повний coverage (увесь проєкт) — окремо:
+   `bun run coverage` або `/n-coverage-fix`.
 
 6. **Review (adversarial)** — рекомендовано перед release:
 

package/rules/js-lint/coverage/coverage.mjs

@@ -10,13 +10,36 @@ import { spawnSync } from 'node:child_process'
 import { existsSync, readFileSync } from 'node:fs'
 import { mkdtemp, readFile, rm } from 'node:fs/promises'
 import { tmpdir } from 'node:os'
-import { join, relative } from 'node:path'
+import { isAbsolute, join, relative } from 'node:path'
 
 import { resolveAllJsRoots } from '../../../scripts/utils/resolve-js-root.mjs'
 import { addCoverage, addMutation } from '../../test/coverage/coverage.mjs'
 
 const TEST_BLOCK_START = /^\s*(it|test)\(/
 const FILE_EXTENSION = /\.[^.]+$/
+/** JS/TS-розширення — файли, які мутує Stryker і покриває vitest. */
+const JS_FILE = /\.(c|m)?[jt]sx?$/
+/** Тест-файли (`*.test.*` / `*.spec.*`) — НЕ production-код, не йдуть у Stryker `--mutate`. */
+const TEST_FILE = /\.(test|spec)\.[^.]+$/
+
+/**
+ * Звужує список змінених файлів (relative до cwd) до тих, що лежать під `jsRoot`,
+ * мають JS/TS-розширення, і рібейзить їх відносно `jsRoot`.
+ * @param {string[]} changedFiles relative-до-cwd шляхи змінених файлів
+ * @param {string} cwd корінь проєкту
+ * @param {string} jsRoot абсолютний шлях workspace-кореня
+ * @returns {string[]} JS-файли під jsRoot, шляхи relative до jsRoot
+ */
+export function scopeToRoot(changedFiles, cwd, jsRoot) {
+  const out = []
+  for (const f of changedFiles) {
+    if (!JS_FILE.test(f)) continue
+    const rel = relative(jsRoot, join(cwd, f))
+    if (rel.startsWith('..') || isAbsolute(rel)) continue
+    out.push(rel)
+  }
+  return out
+}
 const VITEST_HINT =
   'js-lint coverage: vitest відсутній у package.json — додай `vitest`, `@vitest/coverage-v8` та `@stryker-mutator/vitest-runner` у devDependencies (див. test.mdc)'
 
@@ -217,7 +240,11 @@ export function parseStrykerReport(report, jsRoot) {
  * у такому випадку сигналізує "no tests" → collectOneRoot пропускає workspace.
  */
 const defaultRunner = {
-  runJsCoverage({ cwd, lcovDir }) {
+  runJsCoverage({ cwd, lcovDir, base }) {
+    // base !== undefined ⇔ --changed-режим: vitest сам рахує зачеплені змінами тести
+    // через граф імпортів. `--changed <base>` порівнює base↔робоче дерево (committed і
+    // uncommitted разом); `--changed` без аргументу — uncommitted vs HEAD.
+    const changedArgs = base === undefined ? [] : base === null ? ['--changed'] : ['--changed', base]
     const r = spawnSync(
       'bunx',
       [
@@ -226,13 +253,14 @@ const defaultRunner = {
         '--passWithNoTests',
         '--coverage',
         '--coverage.reporter=lcov',
-        `--coverage.reportsDirectory=${lcovDir}`
+        `--coverage.reportsDirectory=${lcovDir}`,
+        ...changedArgs
       ],
       { cwd, stdio: 'inherit', env: process.env }
     )
     return r.status ?? 1
   },
-  runStryker({ cwd }) {
+  runStryker({ cwd, mutate }) {
     // `npx`, не `bunx`: bunx завжди ставить пакет у `T/bunx-<uid>-<pkg>@latest` і запускає
     // Stryker звідти. Плагін-discovery у Stryker (`@stryker-mutator/*`) globится відносно
     // CORE-install-каталогу (`core/dist/src/di/plugin-loader.js` → `../../../../../@stryker-mutator/*`),
@@ -240,30 +268,48 @@ const defaultRunner = {
     // встановлений `@stryker-mutator/vitest-runner` залишається невидимим, і workers падають з
     // `Cannot find TestRunner plugin "vitest"`. `npx` ходить угору по `node_modules/.bin/` і
     // запускає Stryker з локального hoisted-install, де поряд лежить vitest-runner.
-    const r = spawnSync('npx', ['@stryker-mutator/core', 'run'], { cwd, stdio: 'inherit', env: process.env })
+    // mutate (непорожній) ⇔ --changed-режим: мутуємо лише змінені production-файли цього root.
+    const mutateArgs = mutate && mutate.length > 0 ? ['--mutate', mutate.join(',')] : []
+    const r = spawnSync('npx', ['@stryker-mutator/core', 'run', ...mutateArgs], {
+      cwd,
+      stdio: 'inherit',
+      env: process.env
+    })
     return r.status ?? 1
   }
 }
 
 /**
  * Збирає метрики покриття + мутаційного тестування для **одного** JS-root.
- * Пропускає workspace без тестів (повертає `null`): vitest у такому випадку
- * пройшов з `--passWithNoTests`, але lcov порожній — нема сенсу запускати
- * Stryker. Реальні помилки (vitest exit ≠ 0, mutation.json відсутній попри
- * наявні тести) кидаються — у multi-root режимі це не маскує справжній збій.
+ *
+ * Full-режим (`scope === null`): vitest на всьому suite + Stryker на всіх файлах
+ * config-глоба. Пропускає workspace без тестів (повертає `null`): vitest пройшов з
+ * `--passWithNoTests`, але lcov порожній — нема сенсу запускати Stryker.
+ *
+ * Changed-режим (`scope = { files, base }`): vitest `--changed <base>` (лише
+ * зачеплені тести) + Stryker `--mutate` лише по змінених production-файлах. Тут
+ * **не** пропускаємо на порожньому lcov — змінений src без тестів має дати
+ * NoCoverage-мутанти (gate впаде, як і має). Якщо змінено лише тест-файли (нема
+ * production-src) — Stryker не запускаємо (мутувати нічого), повертаємо лише coverage.
+ *
+ * Реальні помилки (vitest exit ≠ 0, відсутній mutation.json попри запуск Stryker)
+ * кидаються — у multi-root режимі це не маскує справжній збій.
  * @param {string} jsRoot абсолютний шлях до workspace-кореня
  * @param {string} cwd корінь проєкту (для рібейзингу `survived[].file`)
  * @param {{runJsCoverage:Function, runStryker:Function}} runner spawn-ін'єкція
- * @returns {Promise<{coverage:object, mutation:{caught:number,total:number}, survived:Array<object>} | null>} результати або null коли workspace без тестів
+ * @param {{files:string[], base:string|null}|null} [scope] changed-scope (null = full-режим)
+ * @returns {Promise<{coverage:object, mutation:{caught:number,total:number}, survived:Array<object>} | null>} результати або null коли full-режим і workspace без тестів
  */
-async function collectOneRoot(jsRoot, cwd, runner) {
+async function collectOneRoot(jsRoot, cwd, runner, scope = null) {
   const wsRel = relative(cwd, jsRoot)
+  // У changed-режимі production-файли для мутації = змінені JS цього root без тест-файлів.
+  const mutateSrc = scope ? scope.files.filter(f => !TEST_FILE.test(f)) : null
 
-  // 1. Coverage через vitest run --passWithNoTests --coverage
+  // 1. Coverage через vitest run --passWithNoTests --coverage (+ --changed у changed-режимі)
   const lcovDir = await mkdtemp(join(tmpdir(), 'js-lint-cov-'))
   let coverage
   try {
-    const code = await runner.runJsCoverage({ cwd: jsRoot, lcovDir })
+    const code = await runner.runJsCoverage(scope ? { cwd: jsRoot, lcovDir, base: scope.base } : { cwd: jsRoot, lcovDir })
     if (code !== 0) throw new Error(`JS coverage exit ${code}`)
     const lcovPath = join(lcovDir, 'lcov.info')
     coverage = existsSync(lcovPath)
@@ -273,13 +319,20 @@ async function collectOneRoot(jsRoot, cwd, runner) {
     await rm(lcovDir, { recursive: true, force: true })
   }
 
-  // Порожній lcov ⇔ vitest з --passWithNoTests не знайшов тестів. Пропускаємо
-  // workspace, щоб не запускати Stryker марно і не псувати агрегат.
-  const hasTests = coverage.lines.total > 0 || coverage.functions.total > 0
-  if (!hasTests) return null
+  // Full-режим: порожній lcov ⇔ vitest не знайшов тестів → пропускаємо workspace,
+  // щоб не ганяти Stryker марно. У changed-режимі НЕ пропускаємо (див. JSDoc).
+  if (!scope) {
+    const hasTests = coverage.lines.total > 0 || coverage.functions.total > 0
+    if (!hasTests) return null
+  }
 
-  // 2. Mutation через Stryker
-  await runner.runStryker({ cwd: jsRoot })
+  // Changed-режим без production-src (змінено лише тест-файли) → мутувати нічого.
+  if (scope && mutateSrc.length === 0) {
+    return { coverage, mutation: { caught: 0, total: 0 }, survived: [] }
+  }
+
+  // 2. Mutation через Stryker (у changed-режимі — лише по mutateSrc)
+  await runner.runStryker(scope ? { cwd: jsRoot, mutate: mutateSrc } : { cwd: jsRoot })
   const mutationPath = join(jsRoot, 'reports', 'stryker', 'mutation.json')
   if (!existsSync(mutationPath)) {
     throw new Error(
@@ -317,22 +370,36 @@ async function collectOneRoot(jsRoot, cwd, runner) {
  * з зрозумілим повідомленням ("Жодного провайдера покриття не знайдено").
  * Шляхи у `survived` рібейзяться відносно `cwd`, щоб `coverage-fix.mjs`
  * знаходив джерела через `join(projectRoot, file)`.
+ *
+ * Changed-режим (`opts.changedFiles` задано): кожен root отримує лише свої змінені
+ * JS-файли (`scopeToRoot`); roots без змінених JS пропускаються повністю (ні vitest,
+ * ні Stryker). Якщо змін нема ніде — повертає `[]` без error-логу (оркестратор
+ * трактує порожній changed-scope як pass).
  * @param {string} cwd корінь проєкту
- * @param {{runner?: typeof defaultRunner}} [opts] runner-ін'єкція для тестів
- * @returns {Promise<Array<{area:string, coverage:object, mutation:{caught:number,total:number}, survived:Array<object>}>>} рядок `JS` або `[]` коли тестів нема ніде
+ * @param {{runner?: typeof defaultRunner, changedFiles?: string[], base?: string|null}} [opts] runner-ін'єкція + changed-scope
+ * @returns {Promise<Array<{area:string, coverage:object, mutation:{caught:number,total:number}, survived:Array<object>}>>} рядок `JS` або `[]` коли тестів/змін нема ніде
  */
 export async function collect(cwd, opts = {}) {
   const runner = opts.runner ?? defaultRunner
+  const changed = Array.isArray(opts.changedFiles)
   const jsRoots = await resolveAllJsRoots(cwd)
   if (jsRoots.length === 0) throw new Error('js-lint coverage: package.json не знайдено')
 
   const results = []
   for (const jsRoot of jsRoots) {
-    const r = await collectOneRoot(jsRoot, cwd, runner)
+    let scope = null
+    if (changed) {
+      const files = scopeToRoot(opts.changedFiles, cwd, jsRoot)
+      if (files.length === 0) continue // root без змінених JS — пропускаємо
+      scope = { files, base: opts.base ?? null }
+    }
+    const r = await collectOneRoot(jsRoot, cwd, runner, scope)
     if (r !== null) results.push(r)
   }
 
   if (results.length === 0) {
+    // Changed-режим: нема змінених JS у жодному root → тихо порожньо (це pass, не помилка).
+    if (changed) return []
     console.error(
       'js-lint coverage: жоден workspace не має тестів ' +
         '(`*.test.{js,mjs}` у `tests/` або поряд із джерелом) — ' +

package/rules/rust/coverage/coverage.mjs

@@ -16,6 +16,8 @@ import { hasCargoTomlInTree } from '../lib/has-cargo-toml.mjs'
 import { resolveCargoManifest } from '../../../scripts/utils/resolve-cargo-manifest.mjs'
 
 const IGNORED_DIR_NAMES = new Set(['node_modules', '.git', '.next', '.turbo', 'target'])
+/** Rust-релевантні зміни: `.rs`-джерела або маніфести Cargo. */
+const RUST_CHANGE = /(\.rs$)|((^|\/)Cargo\.(toml|lock)$)/
 
 /**
  * Чи провайдер застосовний у поточному cwd.
@@ -33,7 +35,7 @@ export function detect(cwd) {
  * на ≤2 ядрах = 1, на 4 = 2, на 8+ = 4. Стеля 4 — Rust linker bottleneck:
  * вище практичного приросту не дає навіть на 16+ ядрах.
  * @param {string | undefined} envValue значення `process.env.CARGO_MUTANTS_JOBS`
- * @returns {number}
+ * @returns {number} кількість паралельних воркерів (>= 1)
  */
 export function resolveJobs(envValue) {
   if (envValue !== undefined && envValue !== '') {
@@ -119,12 +121,21 @@ const defaultRunner = {
 
 /**
  * Збирає Rust-метрики покриття + мутаційного тестування.
+ *
+ * Changed-режим (`opts.changedFiles` задано): якщо серед змінених немає Rust-релевантних
+ * файлів (`.rs` / `Cargo.toml` / `Cargo.lock`) — повертає `[]` (skip), щоб JS-only крок
+ * турнікета не ганяв повний `cargo mutants`. Якщо Rust змінено — наразі прогін повний по
+ * crate (per-file scoping cargo-mutants — окремий крок).
  * @param {string} cwd корінь проєкту
- * @param {{runner?: typeof defaultRunner}} [opts] ін'єкція runner-а для тестів
+ * @param {{runner?: typeof defaultRunner, changedFiles?: string[]}} [opts] ін'єкція runner-а + changed-scope
  * @returns {Promise<Array<{area:string, coverage:object, mutation:{caught:number,total:number}}>>} рядки для COVERAGE.md
  */
 export async function collect(cwd, opts = {}) {
   const runner = opts.runner ?? defaultRunner
+  // Changed-режим без Rust-релевантних змін → не запускаємо повний crate-прогін.
+  if (Array.isArray(opts.changedFiles) && !opts.changedFiles.some(f => RUST_CHANGE.test(f))) {
+    return []
+  }
   const manifestPath = await resolveCargoManifest(cwd)
   if (manifestPath === null) {
     throw new Error('rust coverage: Cargo.toml не знайдено (cwd + workspaces)')

package/rules/test/coverage/coverage.mjs

@@ -19,6 +19,8 @@ import { fileURLToPath, pathToFileURL } from 'node:url'
 
 import { applyVerdicts } from '../../../scripts/coverage-classify/apply.mjs'
 import { classify } from '../../../scripts/coverage-classify/index.mjs'
+import { flowStatePath, readState } from '../../../scripts/dispatcher/lib/state-store.mjs'
+import { collectChangedFilesSince } from '../../../scripts/lib/changed-files.mjs'
 import { readNCursorConfigLite } from '../../../scripts/lib/read-n-cursor-config-lite.mjs'
 import { withLock } from '../../../scripts/utils/with-lock.mjs'
 
@@ -194,18 +196,46 @@ async function readClassifyThreshold(cwd) {
   }
 }
 
+/**
+ * Резолвить scope змінених файлів для `--changed`-режиму.
+ *
+ * Base — `metadata.base_commit` зі стану flow (sibling-файл `.flow.json` поруч із
+ * worktree-checkout). `git diff <base>` проти робочого дерева ловить committed і
+ * uncommitted однаково — тож scope не залежить від того, чи executor уже закомітив
+ * крок. Поза flow (нема/пошкоджений стан) — fallback на робоче дерево vs HEAD.
+ * @param {string} cwd корінь проєкту (= worktree-checkout у межах flow)
+ * @returns {{base: string|null, files: string[]}} base-ref і relative-posix список змінених файлів
+ */
+function resolveChangedScope(cwd) {
+  let base = null
+  try {
+    const state = readState(flowStatePath(cwd))
+    base = state?.metadata?.base_commit ?? null
+  } catch {
+    // пошкоджений/несумісний стан — попереджаємо й падаємо на HEAD (working-tree scope).
+    console.error('coverage --changed: стан flow нечитабельний — scope визначається від HEAD робочого дерева')
+    base = null
+  }
+  return { base, files: collectChangedFilesSince(base, cwd) }
+}
+
 /**
  * Виконує coverage-pipeline: discovery провайдерів за `.n-cursor.json#rules`,
  * detect+collect для кожного, агрегація, запис COVERAGE.md.
  * При `opts.fix === true` після запису COVERAGE.md запускає агента (coverage-fix.mjs)
  * для написання тестів по вцілілих мутантах.
- * @param {{cwd?:string, rulesDir?:string, fix?:boolean}} [opts] ін'єкція cwd/rulesDir для тестів; fix — --fix режим
- * @returns {Promise<number>} exit code (0 OK, 1 коли жоден провайдер не дав даних)
+ * При `opts.changed === true` провайдери звужують scope до змінених від base файлів
+ * (для flow-турнікета). Порожній scope (нема релевантних змін) — це pass (exit 0)
+ * без перезапису наявного COVERAGE.md, а НЕ помилка «жодного провайдера».
+ * @param {{cwd?:string, rulesDir?:string, fix?:boolean, changed?:boolean}} [opts] ін'єкція cwd/rulesDir для тестів; fix — --fix режим; changed — scope лише змінених
+ * @returns {Promise<number>} exit code (0 OK, 1 коли жоден провайдер не дав даних у full-режимі)
  */
 export async function runCoverageSteps(opts = {}) {
   const cwd = opts.cwd ?? process.cwd()
   const rulesDir = opts.rulesDir ?? RULES_DIR
   const config = await readNCursorConfigLite(cwd)
+  const scope = opts.changed ? resolveChangedScope(cwd) : null
+  const collectOpts = scope ? { changedFiles: scope.files, base: scope.base } : {}
   const rows = []
 
   for (const ruleId of config.rules) {
@@ -214,14 +244,27 @@ export async function runCoverageSteps(opts = {}) {
     if (!provider) continue
     if (!(await provider.detect(cwd))) continue
     console.log(`→ ${ruleId} coverage…`)
-    rows.push(...(await provider.collect(cwd)))
+    rows.push(...(await provider.collect(cwd, collectOpts)))
   }
 
   if (rows.length === 0) {
+    // --changed: порожній scope = «нема релевантних змін» → pass, не чіпаємо COVERAGE.md.
+    if (opts.changed) {
+      console.log('✓ coverage --changed: немає змінених файлів у scope провайдерів — пропускаю')
+      return 0
+    }
     console.error('✗ Жодного провайдера покриття не знайдено для активних правил у .n-cursor.json#rules')
     return 1
   }
 
+  // --changed (турнікет): рішення гейту визначає лише exit-код — vitest/Stryker кинули б помилку
+  // під час collect, якби тести/прогін упали. Тут НЕ перезаписуємо повний COVERAGE.md частковим
+  // scoped-звітом і не ганяємо LLM-класифікацію (зайвий кошт у per-step циклі).
+  if (opts.changed) {
+    console.log('✓ coverage --changed: змінені файли перевірено')
+    return 0
+  }
+
   // LLM-класифікація survived мутантів (graceful skip без API key)
   const allSurvived = rows.flatMap(r => r.survived ?? [])
   let augmentedRows = rows
@@ -256,18 +299,19 @@ export async function runCoverageSteps(opts = {}) {
 }
 
 /**
- * CLI entrypoint для `n-cursor coverage [--fix]`.
+ * CLI entrypoint для `n-cursor coverage [--fix] [--changed]`.
  * Із `--fix`: збирає метрики → запускає агента → повторно збирає метрики.
  * Без `--fix`: лише збирає метрики.
+ * Із `--changed`: звужує scope до змінених від base файлів (flow-турнікет).
  * Лок охоплює кожен coverage-прогін окремо.
- * @param {{fix?:boolean}} [opts] прапор --fix
+ * @param {{fix?:boolean, changed?:boolean}} [opts] прапори --fix / --changed
  * @returns {Promise<number>} exit code
  */
 export async function runCoverageCli(opts = {}) {
   const code = await withLock('coverage', () => runCoverageSteps(opts))
   if (code === 0 && opts.fix) {
     console.log('\n♻️  Повторний coverage після агента…\n')
-    return withLock('coverage', () => runCoverageSteps({ fix: false }))
+    return withLock('coverage', () => runCoverageSteps({ fix: false, changed: opts.changed }))
   }
   return code
 }

package/rules/test/test.mdc

@@ -130,6 +130,8 @@ test.skipIf(env.STRYKER_MUTATOR_WORKER)('узгоджені з поточним
 
 Канонічна команда — `n-cursor coverage`: збирає метрики покриття (`vitest run --coverage`, `cargo llvm-cov` тощо) і мутаційного тестування (Stryker з vitest-runner + `coverageAnalysis: 'perTest'`, `cargo-mutants`) з усіх активних провайдерів у `.n-cursor.json#rules` і пише `COVERAGE.md` у корінь проєкту. Лок і дедуп — `withLock('coverage', ...)`.
 
+**Scoped-режим `--changed`** (для flow-турнікета): `n-cursor coverage --changed` звужує scope до файлів, змінених від `base_commit` (зі стану flow `.flow.json`; поза flow — робоче дерево vs HEAD). `git diff <base>` проти робочого дерева ловить committed і uncommitted однаково, тож результат не залежить від того, чи крок уже закомічено. Недосяжний `base` (rebase/force-update) — fail-closed (помилка, не тихий pass). JS-провайдер ганяє `vitest --changed <base>` (лише зачеплені тести) і Stryker `--mutate` по змінених production-файлах (тест-файли відкидаються); roots без змінених JS пропускаються. Rust-провайдер пропускається, якщо не змінено `.rs`/`Cargo.*` (інакше — повний crate-прогін; per-file scoping cargo-mutants — окремий крок). Порожній scope (нема релевантних змін) — pass. У changed-режимі `COVERAGE.md` **не** перезаписується (рішення гейту — лише exit-код) і LLM-класифікація не запускається. `DEFAULT_GATES` турнікета викликає саме `coverage --changed`; повний coverage (увесь проєкт, запис `COVERAGE.md`) лишається для `bun run coverage` / `/n-coverage-fix`.
+
 Провайдери живуть у `npm/rules/<rule>/coverage/coverage.mjs` (постачаються правилами мови/рантайму: `js-lint`, `rust`, у майбутньому `python` тощо). Оркестратор — у `npm/rules/test/coverage/coverage.mjs`.
 
 У `package.json` (корінь) має бути `scripts.coverage` із викликом `n-cursor coverage`:

package/scripts/dispatcher/lib/reviewer.mjs

@@ -11,12 +11,16 @@
 import { worktreeFingerprint } from '../../utils/worktree-fingerprint.mjs'
 
 /**
- * Канонічний gate verify — лише `lint`. Coverage (vitest-покриття + Stryker-
- * мутації) навмисно ПОЗА turnstile: повний прогін надто довгий і ламкий у
- * worktree, тож тести/мутації запускаються окремо (`npx \@nitra/cursor coverage`)
- * або в CI, а не на кожному `flow verify`.
+ * Канонічні gate-и verify (lint + coverage; coverage включає тести+мутації).
+ * Обидва — scoped до змінених файлів: `lint` через quick-режим (`changed-files.mjs`),
+ * `coverage --changed` через vitest `--changed`/Stryker `--mutate` по diff від base.
+ * Турнікет (`flow verify`/per-step) перевіряє лише змінене; повний coverage —
+ * окремо (`bun run coverage`, `/n-coverage-fix`).
  */
-export const DEFAULT_GATES = [{ name: 'lint', cmd: ['npx', '@nitra/cursor', 'lint'] }]
+export const DEFAULT_GATES = [
+  { name: 'lint', cmd: ['npx', '@nitra/cursor', 'lint'] },
+  { name: 'coverage', cmd: ['npx', '@nitra/cursor', 'coverage', '--changed'] }
+]
 
 /**
  * Проганяє gate-и й повертає verdict.

package/scripts/lib/changed-files.mjs

@@ -28,3 +28,31 @@ export function collectChangedFiles(cwd = process.cwd()) {
   const untracked = gitLines(['ls-files', '--others', '--exclude-standard'], cwd)
   return [...new Set([...modified, ...untracked])]
 }
+
+/**
+ * Список змінених + untracked файлів **відносно базового комміту**.
+ *
+ * `git diff <base>` (без `..`/`...`, без `HEAD`) порівнює base-комміт із поточним
+ * **робочим деревом** — тобто однаково ловить і закомічене від base, і staged, і
+ * незакомічені модифікації. Це гарантує однакову поведінку незалежно від того, чи
+ * зміни вже закомічені у worktree (потрібно для flow-турнікета, де executor комітить
+ * кожен крок). Без `base` — fallback на `collectChangedFiles` (робоче дерево vs HEAD).
+ * @param {string|null} [base] базовий комміт (`metadata.base_commit` зі стану flow)
+ * @param {string} [cwd] корінь репо
+ * @returns {string[]} унікальні шляхи (без видалених)
+ */
+export function collectChangedFilesSince(base, cwd = process.cwd()) {
+  if (!base) return collectChangedFiles(cwd)
+  // Fail-closed: недосяжний base (rebase/force-update/shallow prune) інакше дав би `git diff`
+  // exit 128 → порожній список → gate мовчки пройшов би без перевірки. Краще явна помилка.
+  const verify = spawnSync('git', ['rev-parse', '--verify', '--quiet', `${base}^{commit}`], { cwd, encoding: 'utf8' })
+  if (verify.status !== 0 || verify.error) {
+    throw new Error(
+      `collectChangedFilesSince: base-комміт «${base}» недосяжний у ${cwd} ` +
+        '(rebase/force-update?) — coverage --changed не може визначити scope'
+    )
+  }
+  const changed = gitLines(['diff', base, '--name-only', '--diff-filter=ACMR'], cwd)
+  const untracked = gitLines(['ls-files', '--others', '--exclude-standard'], cwd)
+  return [...new Set([...changed, ...untracked])]
+}