@nitra/cursor 3.18.1 → 3.18.2

package/CHANGELOG.md

@@ -1,5 +1,11 @@
 # Changelog
 
+## [3.18.2] - 2026-06-03
+
+### Changed
+
+- npm-publish.yml канон: workflow робить release+publish одним job (release-publish) — крок n-cursor release перед публікацією, contents: write + persist-credentials. Оновлено template, rego-референси та тести.
+
 ## [3.18.1] - 2026-06-03
 
 ### Fixed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nitra/cursor",
-  "version": "3.18.1",
+  "version": "3.18.2",
   "description": "CLI для завантаження cursor-правил (префікс n-) у локальний репозиторій",
   "keywords": [
     "cli",

package/rules/npm-module/npm-module.mdc

@@ -65,6 +65,8 @@ bunx -p typescript tsc src/**/*.js --declaration --allowJs --emitDeclarationOnly
 
 **`npm-publish.yml`:** push у **`main`**, **`on.push.paths`** з **`npm/**`**, **`JS-DevTools/npm-publish@v4.1.5`**, **`with.package: npm/package.json`**, **`permissions.id-token: write`** (OIDC на npm).
 
+Workflow робить **release + publish** одним job (`release-publish`): крок **`Release (bump + CHANGELOG + tag)`** (`node npm/bin/n-cursor.js release` — агрегує change-файли, bump `version`, генерує секцію `CHANGELOG.md`, ставить git-тег) виконується **перед** публікацією. Тому потрібні **`permissions.contents: write`** і **`persist-credentials: true`** з **`fetch-depth: 0`** на `checkout` (release пушить commit-back версії та тег), а також локальний composite **`./.github/actions/setup-bun-deps`** і крок `Configure git identity`. Це узгоджено з **`n-changelog`**: `version`/`CHANGELOG.md` змінює лише `n-cursor release` у CI на `main`. Програмна перевірка (`npm_module.npm_publish_yml`) лишається subset-of — enforce-ить `on.push.paths`/`branches`, `id-token: write` і наявність publish-кроку; додаткові кроки (release, git identity) дозволені.
+
 - Канон: [npm-publish.yml.snippet.yml](./policy/npm_publish_yml/template/npm-publish.yml.snippet.yml)
 
 ## Канонічні конфіги

package/rules/npm-module/policy/npm_publish_yml/npm_publish_yml.rego

@@ -22,11 +22,11 @@ expected_paths := {p | some p in data.template.snippet.on.push.paths}
 
 expected_branches := {b | some b in data.template.snippet.on.push.branches}
 
-expected_permissions := data.template.snippet.jobs.publish.permissions
+expected_permissions := data.template.snippet.jobs["release-publish"].permissions
 
 # Required publish-step (за маркером): expected `with.package` value з template.
 expected_publish_with_package := s.with.package if {
-	some s in data.template.snippet.jobs.publish.steps
+	some s in data.template.snippet.jobs["release-publish"].steps
 	contains(object.get(s, "uses", ""), publish_action_marker)
 }
 

package/rules/npm-module/policy/npm_publish_yml/template/npm-publish.yml.snippet.yml

@@ -12,22 +12,33 @@ concurrency:
   cancel-in-progress: true
 
 jobs:
-  publish:
+  release-publish:
     runs-on: ubuntu-latest
     permissions:
-      contents: read
+      contents: write # commit-back версії + git-тег
       id-token: write # КРИТИЧНО для OIDC!
 
     steps:
       - uses: actions/checkout@v6
         with:
-          persist-credentials: false
+          persist-credentials: true # release пушить commit-back + тег
+          fetch-depth: 0
+
+      - uses: ./.github/actions/setup-bun-deps
 
       - uses: actions/setup-node@v6
         with:
           node-version: '24' # includes npm@11.6.0
           registry-url: 'https://registry.npmjs.org'
 
+      - name: Configure git identity
+        run: |
+          git config user.name "github-actions[bot]"
+          git config user.email "github-actions[bot]@users.noreply.github.com"
+
+      - name: Release (bump + CHANGELOG + tag)
+        run: node npm/bin/n-cursor.js release
+
       - name: Publish package
         uses: JS-DevTools/npm-publish@v4.1.5
         with: