@nitra/cursor 3.18.0 → 3.18.2

package/CHANGELOG.md

@@ -1,5 +1,17 @@
 # Changelog
 
+## [3.18.2] - 2026-06-03
+
+### Changed
+
+- npm-publish.yml канон: workflow робить release+publish одним job (release-publish) — крок n-cursor release перед публікацією, contents: write + persist-credentials. Оновлено template, rego-референси та тести.
+
+## [3.18.1] - 2026-06-03
+
+### Fixed
+
+- python: applies-гейт пропускає правило без pyproject.toml — позбулися хибного зауваження rego package_json у не-Python репо
+
 ## [3.18.0] - 2026-06-03
 
 ### Added

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nitra/cursor",
-  "version": "3.18.0",
+  "version": "3.18.2",
   "description": "CLI для завантаження cursor-правил (префікс n-) у локальний репозиторій",
   "keywords": [
     "cli",

package/rules/npm-module/npm-module.mdc

@@ -65,6 +65,8 @@ bunx -p typescript tsc src/**/*.js --declaration --allowJs --emitDeclarationOnly
 
 **`npm-publish.yml`:** push у **`main`**, **`on.push.paths`** з **`npm/**`**, **`JS-DevTools/npm-publish@v4.1.5`**, **`with.package: npm/package.json`**, **`permissions.id-token: write`** (OIDC на npm).
 
+Workflow робить **release + publish** одним job (`release-publish`): крок **`Release (bump + CHANGELOG + tag)`** (`node npm/bin/n-cursor.js release` — агрегує change-файли, bump `version`, генерує секцію `CHANGELOG.md`, ставить git-тег) виконується **перед** публікацією. Тому потрібні **`permissions.contents: write`** і **`persist-credentials: true`** з **`fetch-depth: 0`** на `checkout` (release пушить commit-back версії та тег), а також локальний composite **`./.github/actions/setup-bun-deps`** і крок `Configure git identity`. Це узгоджено з **`n-changelog`**: `version`/`CHANGELOG.md` змінює лише `n-cursor release` у CI на `main`. Програмна перевірка (`npm_module.npm_publish_yml`) лишається subset-of — enforce-ить `on.push.paths`/`branches`, `id-token: write` і наявність publish-кроку; додаткові кроки (release, git identity) дозволені.
+
 - Канон: [npm-publish.yml.snippet.yml](./policy/npm_publish_yml/template/npm-publish.yml.snippet.yml)
 
 ## Канонічні конфіги

package/rules/npm-module/policy/npm_publish_yml/npm_publish_yml.rego

@@ -22,11 +22,11 @@ expected_paths := {p | some p in data.template.snippet.on.push.paths}
 
 expected_branches := {b | some b in data.template.snippet.on.push.branches}
 
-expected_permissions := data.template.snippet.jobs.publish.permissions
+expected_permissions := data.template.snippet.jobs["release-publish"].permissions
 
 # Required publish-step (за маркером): expected `with.package` value з template.
 expected_publish_with_package := s.with.package if {
-	some s in data.template.snippet.jobs.publish.steps
+	some s in data.template.snippet.jobs["release-publish"].steps
 	contains(object.get(s, "uses", ""), publish_action_marker)
 }
 

package/rules/npm-module/policy/npm_publish_yml/template/npm-publish.yml.snippet.yml

@@ -12,22 +12,33 @@ concurrency:
   cancel-in-progress: true
 
 jobs:
-  publish:
+  release-publish:
     runs-on: ubuntu-latest
     permissions:
-      contents: read
+      contents: write # commit-back версії + git-тег
       id-token: write # КРИТИЧНО для OIDC!
 
     steps:
       - uses: actions/checkout@v6
         with:
-          persist-credentials: false
+          persist-credentials: true # release пушить commit-back + тег
+          fetch-depth: 0
+
+      - uses: ./.github/actions/setup-bun-deps
 
       - uses: actions/setup-node@v6
         with:
           node-version: '24' # includes npm@11.6.0
           registry-url: 'https://registry.npmjs.org'
 
+      - name: Configure git identity
+        run: |
+          git config user.name "github-actions[bot]"
+          git config user.email "github-actions[bot]@users.noreply.github.com"
+
+      - name: Release (bump + CHANGELOG + tag)
+        run: node npm/bin/n-cursor.js release
+
       - name: Publish package
         uses: JS-DevTools/npm-publish@v4.1.5
         with:

package/rules/python/js/applies.mjs

@@ -0,0 +1,30 @@
+/**
+ * Applies-гейт правила `python` (python.mdc): правило застосовне, лише якщо в корені є
+ * `pyproject.toml`. Інакше CLI пропускає всі concerns (JS і policy) — інакше rego
+ * `python/package_json` хибно вимагає `scripts.lint-python` навіть для не-Python репо.
+ *
+ * JS тут — гейт на наявність кореневого `pyproject.toml`. Подальші FS-перевірки
+ * (`uv.lock`, `package.json`, `lint-python.yml`, заборона Poetry) — у `tooling.mjs`.
+ */
+import { existsSync } from 'node:fs'
+import { join } from 'node:path'
+
+import { createCheckReporter } from '../../../scripts/lib/check-reporter.mjs'
+
+/**
+ * @param {string} [cwd] корінь репозиторію (`process.cwd()` у звичайному прогоні)
+ * @returns {Promise<boolean>} `true` — правило застосовне; `false` — пропустити
+ */
+export function applies(cwd = process.cwd()) {
+  return Promise.resolve(existsSync(join(cwd, 'pyproject.toml')))
+}
+
+/**
+ * Друкує короткий context-pass — самі перевірки виконують інші concerns.
+ * @returns {number} 0 — все ок (фактичні порушення повертають інші концерни)
+ */
+export function check() {
+  const reporter = createCheckReporter()
+  reporter.pass('pyproject.toml знайдено в корені — застосовую python.mdc')
+  return reporter.getExitCode()
+}

package/rules/python/js/tooling.mjs

@@ -2,12 +2,15 @@
  * Перевіряє FS-вимоги правила python.mdc для Python-проєктів на uv.
  *
  * **Що тут лишилося** (FS-existence — не покривається conftest):
- *  - наявність `pyproject.toml` у корені (тригер правила);
  *  - наявність `uv.lock` поруч (uv-проєкт коммітить lock-файл);
  *  - наявність кореневого `package.json` (для `bun run lint-python`);
  *  - наявність `.github/workflows/lint-python.yml`;
  *  - заборона Poetry-артефактів `poetry.lock` / `poetry.toml` (міграція на uv).
  *
+ * Гейт на `pyproject.toml` робить `applies.mjs` — CLI пропускає правило цілком
+ * без нього. Захисний early-return лишається тут лише для прямого виклику
+ * `check()` (тести/standalone) без `applies.mjs`-гейту.
+ *
  * **Що покрила Rego** (`npx \@nitra/cursor fix python`):
  *  - `python/pyproject_toml/` — заборона `[tool.poetry]` + вимога PEP 621 `[project].name/version`;
  *  - `python/package_json/` — наявність скрипта `lint-python` у `package.json`;
@@ -31,10 +34,8 @@ export function check(cwd = process.cwd()) {
   const { pass, fail } = reporter
 
   if (!existsSync(join(cwd, 'pyproject.toml'))) {
-    pass('pyproject.toml не знайдено в корені — правило python не застосовне')
     return reporter.getExitCode()
   }
-  pass('pyproject.toml існує — застосовую python.mdc')
 
   if (existsSync(join(cwd, 'uv.lock'))) {
     pass('uv.lock є')