@rt-tools/agent-kit 0.2.0 → 0.4.0

package/assets/defaults/project.sh

@@ -0,0 +1,179 @@
+#!/usr/bin/env bash
+# Профиль дерева: чем здесь проверяется правка и что считается переизобретением.
+#
+# Умолчание пакета. Всё, что общего у деревьев этой мастерской, живёт здесь: запускатель Nx,
+# линтер кода, линтер стилей, набор образцов переизобретения. Своё дерево дописывает
+# надстройкой — `.claude/rt-kit/project.sh`: она грузится второй, объявляет ту же функцию
+# заново и вправе позвать отсюда её же с суффиксом `_default`.
+#
+# Каждая функция вправе промолчать. Молчание значит «правила на это нет», и хук пропускает.
+
+# Запускатель пакетов — по локфайлу, а не по договорённости: деревья с pnpm и с npm лежат в
+# одной мастерской, и зашитый здесь `npm` в первом же из них печатал бы команду, которой нет.
+rt_runner() {
+    root="${CLAUDE_PROJECT_DIR:-.}"
+    if [ -f "$root/pnpm-lock.yaml" ]; then
+        printf '%s' 'pnpm exec'
+    elif [ -f "$root/yarn.lock" ]; then
+        printf '%s' 'yarn'
+    else
+        printf '%s' 'npx'
+    fi
+}
+
+# Где подняты приложения. Идёт в текст отказа, когда кто-то поднимает второй экземпляр.
+# Порты у каждого дерева свои, поэтому умолчание молчит: назвать чужой порт хуже, чем не назвать.
+RT_STANDS="${RT_STANDS:-}"
+
+# Команды, которые обязаны пройти перед пушем. По одной на строку; первая упавшая отбивает пуш.
+# Линтер стилей отдельной строкой: линтер кода файлы стилей не читает вовсе.
+#
+# Первый параметр — база: ветка, относительно которой считается вклад. Пустая означает, что
+# удалённого нет, и тогда гоняется всё: набор строже нужного безопасен, набор уже нужного — нет.
+rt_push_checks_default() {
+    runner="$(rt_runner)"
+    if [ -n "$1" ]; then
+        printf '%s\n' "$runner nx affected -t lint test --base=$1"
+    else
+        printf '%s\n' "$runner nx run-many -t lint test --all"
+    fi
+    [ -f "${CLAUDE_PROJECT_DIR:-.}/stylelint.config.js" ] && printf '%s\n' "$runner stylelint \"**/*.scss\" --max-warnings 0"
+
+    return 0
+}
+
+# Какой документ обязан ехать тем же коммитом, что и этот файл. Печатает образец пути или молчит.
+rt_docs_pair_for_default() {
+    case "$1" in
+        # Тест — не описание кода: он его проверяет.
+        *.spec.ts) return 0 ;;
+        # Контракт правится вместе со спеком домена: разошедшись, они врут оба.
+        *.proto) printf '%s' 'docs/specs/.*/spec\.md' ;;
+        # Правило и его спутник здесь не называются: их пару держит сам гард, и держит точнее —
+        # он сверяет раздел с утверждениями, а не факт правки файла.
+        # Хук и набор его сценариев: гард разбирает текст команд, и уточнение шаблона обычно
+        # смещает границу, а не сужает.
+        .claude/hooks/*.sh) printf '%s' '.claude/hooks/tests/.*' ;;
+    esac
+}
+
+# Чем линтуется этот файл сразу после правки. Печатает команду или молчит.
+#
+# Путь подставляется здесь, а не оставляется позиционным параметром: хук исполняет напечатанное
+# вычислением строки, и `$1` в нём разрешился бы в параметр самого хука, то есть в пустоту.
+rt_lint_for_default() {
+    runner="$(rt_runner)"
+    case "$1" in
+        *.scss) printf '%s stylelint --max-warnings 0 "%s"' "$runner" "$1" ;;
+        *.ts | *.html) printf '%s eslint "%s"' "$runner" "$1" ;;
+    esac
+}
+
+# Каталог папок задач. Пусто — ведения работы папкой в дереве нет, и гард замысла молчит.
+RT_TASKS_DIR="${RT_TASKS_DIR:-docs/tasks}"
+
+# Код приложения ли это. Успех — да, и тогда правка требует замысла на диске.
+#
+# Признак — путь, а не оценка на глаз: оценку назначает тот, кому она мешает, и порог плывёт.
+# Правила, тексты, обвязка и зависимости под требование не попадают — иначе разбор задачи
+# нельзя было бы вести до заведения ветки.
+rt_is_app_code_default() {
+    case "$1" in
+        */apps/* | */libs/* | */projects/*) return 0 ;;
+        *) return 1 ;;
+    esac
+}
+
+# Имя ветки, с которой разрешено открывать заявку на слияние: в имени стоит номер задачи.
+# Приставка — либо род правки, либо метка очереди работ: обе формы носят номер, а он и нужен.
+#
+# Хвост после номера — строчными и через дефис. Имя ветки читают глазами в списке и набирают
+# руками, а регистр в нём различает две ветки, отличающиеся только им, — и та, что нужна, при
+# переключении находится не с первого раза.
+rt_task_branch_ok_default() {
+    printf '%s' "$1" \
+        | grep -qE '^([A-Z]+-)?[0-9]+-[a-z0-9][a-z0-9-]*$|^(feat|fix|refactor|docs|chore|style|perf|test|build|ci)/[0-9]+-[a-z0-9][a-z0-9-]*$'
+}
+
+# Адрес боевого хранилища: образец, по которому его узнают в командной строке — порт туннеля,
+# хост, домен. Любая запись по нему отбивается совсем, и опт-аут не действует. Умолчание
+# молчит: чужой адрес здесь опаснее неназванного — он отбивал бы работу с локальной базой.
+RT_PROD_DSN="${RT_PROD_DSN:-}"
+
+# Подключения среды разработки в лицо: по одному тексту запроса бой от локальной копии не
+# отличить, база выбирается идентификатором подключения. Идентификаторы локальны для машины.
+RT_PROD_CONNECTIONS="${RT_PROD_CONNECTIONS:-}"
+RT_LOCAL_CONNECTIONS="${RT_LOCAL_CONNECTIONS:-}"
+
+# Порты одноразовых баз: по ним вопрос не задаётся. Не назван — исключения нет вовсе.
+RT_SCRATCH_PORT_RE="${RT_SCRATCH_PORT_RE:-}"
+
+# Форма номера в заголовке заявки на слияние. Тот же номер стоит у задачи и у ветки.
+RT_TASK_TITLE_RE="${RT_TASK_TITLE_RE:-^\[[A-Za-z]+-[0-9]+\][[:space:]]+[^[:space:]]}"
+
+# Чем заводится задача и чем сверяется очередь работ. Идут в текст отказа гарда поставки:
+# отказ без действия обходят, а не исполняют.
+RT_TASK_NEW_CMD="${RT_TASK_NEW_CMD:-npm run task:new}"
+RT_BOARD_CHECK_CMD="${RT_BOARD_CHECK_CMD:-npm run check:board}"
+
+# Учётная запись, которую ставят исполнителем. Умолчание молчит: у каждого дерева она своя.
+RT_TASK_BOT="${RT_TASK_BOT:-}"
+
+# Состояние задачи одним объектом: exists, open, onBoard, assigned, numbered. Спрашивает
+# помощника очереди работ — того же, которым пользуются сверка и команда заведения, чтобы
+# гард и очередь одинаково понимали «задача в порядке». Нет узла, нет помощника, нет сети —
+# молчание, и ярус состояния пропускается: проверять нечем.
+rt_task_state_default() {
+    command -v node >/dev/null 2>&1 || return 1
+    [ -f "${RT_BOARD_HELPER:-tools/board.mjs}" ] || return 1
+    state="$(node "${RT_BOARD_HELPER:-tools/board.mjs}" task "$1" 2>/dev/null)" || return 1
+    [ -z "$state" ] && return 1
+    # Ответ с меткой «сети не было» состоянием не является: по нему нельзя отличить задачу,
+    # которой нет, от задачи, о которой не спросили.
+    printf '%s' "$state" | jq -e 'has("offline") | not' >/dev/null 2>&1 || return 1
+    printf '%s' "$state"
+}
+
+# Что в этом дереве считается переизобретением. По строке «образец<таб>чем заменить».
+# Образцы узкие намеренно: гард сверяет только НОВЫЙ текст, и широкий образец отбивал бы
+# правку, которая ничего нового не заводит.
+rt_reinvented_in_default() {
+    case "$1" in
+        *.ts)
+            printf '%s\t%s\n' '@(Input|Output|ViewChild|ViewChildren|ContentChild)\(' 'input(), output(), viewChild(), contentChild() — реактивный вход и выход'
+            printf '%s\t%s\n' 'get [a-zA-Z]+\(\)[[:space:]]*(:|\{)' 'computed(): производное значение сигналом, а не геттером'
+            ;;
+        *.html)
+            printf '%s\t%s\n' '\[ngClass\]|\[class\.' 'директивы класса кита'
+            ;;
+        *.scss)
+            printf '%s\t%s\n' '#[0-9a-fA-F]{3}([0-9a-fA-F]{3})?\b' 'токен оформления вместо записанного цвета'
+            ;;
+    esac
+}
+
+# Где якорь для спек не требуется. Витрина, корневая разметка и сборка — общее у всех деревьев;
+# своё дерево дописывает надстройкой.
+RT_QA_SKIP_RE="${RT_QA_SKIP_RE:-/node_modules/|/dist/|\.stories\.html\$|/src/index\.html\$}"
+
+# По какому имени тег опознаётся компонентом этого дерева. Умолчание — составной тег: имя с
+# дефисом принадлежит компоненту, а не разметке, и это верно везде, где есть свои компоненты.
+RT_QA_COMPONENT_RE="${RT_QA_COMPONENT_RE:--}"
+
+# Теги, которые спека не нажимает: оформление, разметка страницы, индикаторы. Перечисляются
+# именами через пробел. Умолчание молчит: у каждого кита свои, а чужое имя здесь глушило бы
+# проверку на теге, которого в этом дереве нет.
+rt_qa_decorative_default() {
+    return 0
+}
+
+# Умолчания под общими именами. Надстройка проекта объявит любое из них заново — и позовёт
+# отсюда то же имя с суффиксом `_default` для всего, чего не назвала сама.
+rt_push_checks() { rt_push_checks_default "$@"; }
+rt_docs_pair_for() { rt_docs_pair_for_default "$@"; }
+rt_lint_for() { rt_lint_for_default "$@"; }
+rt_task_branch_ok() { rt_task_branch_ok_default "$@"; }
+rt_reinvented_in() { rt_reinvented_in_default "$@"; }
+rt_is_app_code() { rt_is_app_code_default "$@"; }
+rt_qa_decorative() { rt_qa_decorative_default "$@"; }
+rt_task_state() { rt_task_state_default "$@"; }

package/assets/hooks/browser-device-id.sh

@@ -0,0 +1,20 @@
+#!/usr/bin/env bash
+# Общий помощник: печатает идентификатор закреплённого профиля браузера.
+#
+# Идентификатор локален для машины и в пакет не едет вовсе. Он берётся из переменной окружения,
+# а если её нет — из файла рядом с конфигом раскладки. Ни там ни там ничего нет — помощник
+# молчит, и все браузерные гарды пропускают: гард, который не может назвать нужный профиль,
+# ничего не предлагает взамен, и слепой отказ только заводил бы работу в тупик.
+#
+# Файл с идентификатором в репозиторий не коммитится: у каждой машины он свой.
+
+if [ -n "${RT_BROWSER_DEVICE_ID:-}" ]; then
+    printf '%s\n' "$RT_BROWSER_DEVICE_ID"
+    exit 0
+fi
+
+file="${CLAUDE_PROJECT_DIR:-.}/.claude/rt-kit/browser-device-id"
+[ -f "$file" ] || exit 0
+
+tr -d '[:space:]' <"$file"
+printf '\n'

package/assets/hooks/browser-guard-device-id.sh

@@ -0,0 +1,28 @@
+#!/usr/bin/env bash
+# rt-hook: PreToolUse mcp__claude-in-chrome__select_browser
+# Гард выбора браузера. PreToolUse на выборе браузера расширением.
+#
+# Отклоняет любой профиль, кроме закреплённого: чужой стоит лишнего круга и приводит в браузер,
+# где сессий этого проекта нет вовсе.
+#
+# На совпадении ставит метку сессии. Гард свежести читает ВОЗРАСТ этой метки — она и делает
+# законной всю дальнейшую работу с браузером.
+#
+# ОТКАЗ В ПОЛЬЗУ РАБОТЫ: помощник не назвал профиль — пропуск.
+
+input="$(cat 2>/dev/null)"
+
+device_id="$("${CLAUDE_PROJECT_DIR:-.}/.claude/hooks/browser-device-id.sh" 2>/dev/null)"
+[ -z "$device_id" ] && exit 0
+
+requested="$(printf '%s' "$input" | jq -r '.tool_input.deviceId // empty' 2>/dev/null)"
+
+if [ "$requested" = "$device_id" ]; then
+    sid="$(printf '%s' "$input" | jq -r '.session_id // "nosession"' 2>/dev/null)"
+    marker_dir="${TMPDIR:-/tmp}/claude-browser-guard"
+    mkdir -p "$marker_dir" 2>/dev/null && : >"$marker_dir/${sid}" 2>/dev/null
+    exit 0
+fi
+
+echo "Профиль «${requested}» не тот, что закреплён за проектом. Бери ${device_id} — единственный профиль, где сделан вход." >&2
+exit 2

package/assets/hooks/browser-guard-no-asking.sh

@@ -0,0 +1,27 @@
+#!/usr/bin/env bash
+# rt-hook: PreToolUse AskUserQuestion
+# PreToolUse guard for AskUserQuestion.
+#
+# The browser choice is already made and pinned in browser-device-id.sh — asking again is noise, and the
+# answer could only ever be the pinned profile. Only questions actually about PICKING a browser
+# are blocked; every other question passes untouched.
+#
+# A bare "browser"/"браузер" substring is too broad for a web-dev project: questions about
+# client-side code, user agents, cross-browser bugs etc. legitimately use the word without
+# being about which Chrome profile to automate. Anchor on selection phrasing instead
+# (deviceId, "which/what browser", "какой браузер").
+#
+# FAIL-OPEN when browser-device-id.sh prints nothing.
+
+input="$(cat 2>/dev/null)"
+
+device_id="$("${CLAUDE_PROJECT_DIR:-.}/.claude/hooks/browser-device-id.sh" 2>/dev/null)"
+[ -z "$device_id" ] && exit 0
+
+questions="$(printf '%s' "$input" | jq -r '[.tool_input.questions[]? | .question, .header, (.options[]?.label)] | join(" ")' 2>/dev/null)"
+[ -z "$questions" ] && exit 0
+
+printf '%s' "$questions" | grep -qiE 'deviceid|device id|(which|what|pick|choose|select)[^.]{0,25}\bbrowser\b|\bbrowser\b[^.]{0,25}(profile|to use)|как(ой|ую)?[^.]{0,15}браузер|брауз[а-я]*[^.]{0,20}(использовать|выбрать|выбор|нужен|запустить)' || exit 0
+
+echo "Do not ask which browser to use — the profile is pinned. Call select_browser with deviceId ${device_id} ('Main' profile)." >&2
+exit 2

package/assets/hooks/browser-guard-no-listing.sh

@@ -0,0 +1,18 @@
+#!/usr/bin/env bash
+# rt-hook: PreToolUse mcp__claude-in-chrome__(list_connected_browsers|switch_browser)
+# Гард перечисления и переключения браузеров. PreToolUse.
+#
+# Сессии проекта живут в одном закреплённом профиле. Перечисление и переключение отдают общие
+# неустойчивые имена, которые не опознают ничего, а выбор из них приводит в профиль без входа —
+# поэтому единственный поддержанный путь — выбор по закреплённому идентификатору.
+#
+# ОТКАЗ В ПОЛЬЗУ РАБОТЫ: помощник не назвал профиль — пропуск. Гард, который не может назвать
+# нужный профиль, ничего не предлагает взамен, и слепой отказ только заводил бы работу в тупик.
+
+cat >/dev/null 2>&1
+
+device_id="$("${CLAUDE_PROJECT_DIR:-.}/.claude/hooks/browser-device-id.sh" 2>/dev/null)"
+[ -z "$device_id" ] && exit 0
+
+echo "Не перечисляй и не переключай браузеры. Вызови выбор браузера с профилем ${device_id} — единственным, где сделан вход." >&2
+exit 2

package/assets/hooks/browser-guard-no-other-drivers.sh

@@ -0,0 +1,79 @@
+#!/usr/bin/env bash
+# rt-hook: PreToolUse mcp__playwright__.*|mcp__chrome-devtools__.*|Bash
+# Гард обходных путей к браузеру. PreToolUse.
+#
+# Закрепление профиля чего-то стоит только тогда, когда дверь одна. Здесь перечислены двери,
+# которые обходят её целиком и закреплённый профиль не спрашивают вовсе: второй драйвер,
+# третий драйвер, открытие ссылки средствами системы, управление браузером через сценарий
+# автоматизации, отдельная утилита и прямой запуск бинарника.
+#
+# Написание сквозных спек при этом остаётся законным: прогон спеки не выдаёт агенту
+# интерактивный браузер. Отбиваются только глаголы вождения.
+#
+# ОТКАЗ В ПОЛЬЗУ РАБОТЫ: помощник не назвал профиль — пропуск.
+
+input="$(cat 2>/dev/null)"
+
+device_id="$("${CLAUDE_PROJECT_DIR:-.}/.claude/hooks/browser-device-id.sh" 2>/dev/null)"
+[ -z "$device_id" ] && exit 0
+
+tool="$(printf '%s' "$input" | jq -r '.tool_name // empty' 2>/dev/null)"
+
+deny() {
+    echo "$1 Води браузер закреплённым расширением: выбери профиль ${device_id} и работай его инструментами." >&2
+    exit 2
+}
+
+case "$tool" in
+    mcp__playwright__*)
+        deny "Второй драйвер браузера в этом проекте не используется — в его профиле вход не сделан." ;;
+    mcp__chrome-devtools__*)
+        deny "Третий драйвер браузера в этом проекте не используется — закреплённый профиль он не спрашивает." ;;
+esac
+
+# Терминал среды разработки запускает те же драйверы той же командной строкой.
+case "$tool" in
+    Bash | mcp__webstorm__execute_terminal_command | mcp__webstorm__execute_tool) ;;
+    *) exit 0 ;;
+esac
+
+cmd="$(printf '%s' "$input" | jq -r '.tool_input.command // empty' 2>/dev/null)"
+[ -z "$cmd" ] && exit 0
+
+if [ "$tool" = "mcp__webstorm__execute_tool" ] && command -v perl >/dev/null 2>&1; then
+    inner="$(printf '%s' "$cmd" | perl -0ne '
+        if (/--command(?:=|\s+)(?:"((?:[^"\\]|\\.)*)"|\x27([^\x27]*)\x27|(.+))/s) {
+            print defined $1 ? $1 : (defined $2 ? $2 : $3);
+        }
+    ' 2>/dev/null)"
+    [ -n "$inner" ] && cmd="$inner"
+fi
+
+# Прогон сквозных спек — законный путь, и он не отбивается никогда.
+case "$cmd" in
+    *playwright\ open*|*playwright\ codegen*|*playwright\ screenshot*|*playwright\ cr*)
+        deny "Вождение браузера из командной строки драйвера обходит закреплённый профиль." ;;
+esac
+
+case "$cmd" in
+    *open\ http*|*open\ -a\ *Chrome*|*open\ -a\ *chrome*)
+        deny "Открытие адреса средствами системы поднимает браузер по умолчанию, а не закреплённый профиль." ;;
+    *osascript*Chrome*|*osascript*chrome*)
+        deny "Управление браузером сценарием автоматизации обходит закреплённый профиль." ;;
+    *chrome-cli*)
+        deny "Эта утилита обходит закреплённый профиль." ;;
+esac
+
+# Бинарник браузера — и только в позиции команды.
+#
+# Голый образец с именем движка здесь непригоден: он совпадает и со значением флага, которым
+# помечают движок в прогоне сквозных спек, — такой образец отбил бы сам прогон в день, когда
+# появился. Поэтому якорь на границе команды и требование похожего на исполняемый файл слова,
+# а не значения флага.
+printf '%s' "$cmd" | grep -qE '(^|[;&|(]|[[:space:]]&&|[[:space:]]\|\|)[[:space:]]*(/[^[:space:]]*/)?(google-chrome|chromium)([[:space:]]|$)' \
+    && deny "Прямой запуск бинарника браузера обходит закреплённый профиль."
+
+printf '%s' "$cmd" | grep -qF 'Google Chrome.app/Contents/MacOS' \
+    && deny "Прямой запуск бинарника браузера обходит закреплённый профиль."
+
+exit 0

package/assets/hooks/browser-guard-require-select.sh

@@ -0,0 +1,54 @@
+#!/usr/bin/env bash
+# rt-hook: PreToolUse mcp__claude-in-chrome__.*
+# Гард свежести выбора браузера. PreToolUse на всех остальных вызовах расширения.
+#
+# ЗАЧЕМ ОН ЕСТЬ — отказ, из которого он вырос: расширение действует на тот браузер, который
+# считает активным сейчас, и этот выбор ПЛЫВЁТ. Выбор, сделанный в начале сессии, не держится:
+# после долгого перерыва на работу без браузера следующий же вызов открыл вкладку в другом
+# профиле — молча. Гард на самом выборе такого не ловит: в этот момент выбор никто не вызывает,
+# а тот, что был сделан раньше, был верным.
+#
+# Поэтому гард про СВЕЖЕСТЬ, а не про «выбирали ли вообще»:
+#   - гард выбора ставит метку на каждом принятом выборе;
+#   - каждый прошедший здесь вызов метку обновляет, поэтому непрерывная работа идёт свободно;
+#   - как только метка старше окна, следующий вызов отбивается и требует выбрать заново.
+#     Перерыв — это ровно то, когда выбор уплывает, поэтому перерыв гард и взводит.
+#
+# Выбор — один дешёвый повторяемый вызов, и повторить его стоит несравнимо меньше, чем попасть
+# не в тот браузер.
+#
+# ОТКАЗ В ПОЛЬЗУ РАБОТЫ: помощник не назвал профиль — пропуск.
+
+input="$(cat 2>/dev/null)"
+
+device_id="$("${CLAUDE_PROJECT_DIR:-.}/.claude/hooks/browser-device-id.sh" 2>/dev/null)"
+[ -z "$device_id" ] && exit 0
+
+tool="$(printf '%s' "$input" | jq -r '.tool_name // empty' 2>/dev/null)"
+# У перечисления, переключения и самого выбора свои гарды.
+case "$tool" in
+    *list_connected_browsers|*switch_browser|*select_browser) exit 0 ;;
+esac
+
+ttl=300
+
+sid="$(printf '%s' "$input" | jq -r '.session_id // "nosession"' 2>/dev/null)"
+marker="${TMPDIR:-/tmp}/claude-browser-guard/${sid}"
+
+if [ ! -f "$marker" ]; then
+    echo "В этой сессии браузер не выбран. Вызови выбор браузера с профилем ${device_id} до любого другого вызова." >&2
+    exit 2
+fi
+
+now="$(date +%s)"
+stamped="$(stat -f %m "$marker" 2>/dev/null || stat -c %Y "$marker" 2>/dev/null || echo 0)"
+age=$(( now - stamped ))
+
+if [ "$age" -gt "$ttl" ]; then
+    rm -f "$marker" 2>/dev/null
+    echo "Последний выбор браузера был ${age} с назад (предел ${ttl} с) — на таких перерывах активный браузер расширения уплывает, и это может быть уже не закреплённый профиль. Вызови выбор с профилем ${device_id} заново и повтори." >&2
+    exit 2
+fi
+
+: >"$marker" 2>/dev/null
+exit 0

package/assets/hooks/commit-msg.sh

@@ -0,0 +1,26 @@
+#!/usr/bin/env bash
+# Проверка сообщения коммита. Хук самого гита, а не агента.
+#
+# Версионируемый шаблон: рабочая копия хуков гита не версионируется, поэтому файл ставится в
+# неё отдельно — скриптом подготовки при установке зависимостей. Переустановка руками, если
+# подготовка почему-то не отработала:
+#   cp .claude/hooks/commit-msg.sh .git/hooks/commit-msg && chmod +x .git/hooks/commit-msg
+#
+# Намеренно НЕ через обёртку, подменяющую путь хуков: подмена уводит гит в свой каталог и рвёт
+# остальные хуки, уже лежащие в рабочей копии. Родной путь оставляет их нетронутыми.
+#
+# Разобранный по типу и области заголовок читается списком, а свободный текст — только
+# целиком; поэтому формат и проверяется здесь, на месте, а не глазами на разборе.
+#
+# ОТКАЗ В ПОЛЬЗУ РАБОТЫ: проверяльщика нет (свежий клон без установленных зависимостей) —
+# пропуск. Формат тогда не проверяется, и это лучше, чем заклинивший коммит.
+
+msg_file="$1"
+[ -z "$msg_file" ] && exit 0
+
+repo_root="$(git rev-parse --show-toplevel 2>/dev/null)" || exit 0
+cd "$repo_root" 2>/dev/null || exit 0
+
+[ -x node_modules/.bin/commitlint ] || exit 0
+
+node_modules/.bin/commitlint --edit "$msg_file"

package/assets/hooks/constitution-index.sh

@@ -0,0 +1,43 @@
+#!/usr/bin/env bash
+# rt-hook: SessionStart startup|resume|compact|clear
+# Вход в слой законов. SessionStart.
+#
+# Файл закона сам по себе не приносит в контекст ничего — его читают, только когда за ним
+# пошли. Хук печатает указатель (имя файла и его заголовок) один раз за сессию: слой известен,
+# что существует, и открывается, когда решение его задевает.
+#
+# Указатель ЧИТАЕТСЯ ИЗ КАТАЛОГА, а не выписан руками: выписанный разошёлся бы с тем, что
+# разложено на самом деле, и сказать об этом было бы нечем.
+#
+# ОТКАЗ В ПОЛЬЗУ РАБОТЫ: любая ошибка начинает сессию без добавленного контекста (exit 0).
+# Сломанный вход не имеет права остановить сессию.
+
+dir="${CLAUDE_PROJECT_DIR:-.}/docs/constitution"
+[ -d "$dir" ] || exit 0
+
+index=""
+for law in "$dir"/*.md; do
+    [ -f "$law" ] || continue
+    title="$(grep -m1 '^# ' "$law" 2>/dev/null | sed 's/^# //')"
+    [ -z "$title" ] && continue
+    index="${index}  docs/constitution/$(basename "$law") — ${title}"$'\n'
+done
+[ -z "$index" ] && exit 0
+
+read -r -d '' context <<EOF
+ЗАКОНЫ ПРОЕКТА (слой @rt-tools/agent-kit, разложен в docs/constitution/).
+
+Закон говорит, ЧТО должно быть верно, и не знает ни путей, ни имён файлов. Правило — каким
+приёмом это делается — живёт в .claude/skills/, а имена этого дерева при нём — в
+implementation.md рядом. Закон не отменяет правила и не заменяется им: перед решением, которое
+закон задевает, читается закон целиком, правило — как обычно.
+
+${index}
+Разложенные файлы правятся не руками, а надстройкой в .claude/rt-kit/overrides/<ресурс>:
+правка на месте теряется на следующем \`agent-kit sync\`, и он на неё отказывает. Сверить
+разложенное с пакетом: \`agent-kit sync --check\`.
+EOF
+
+jq -n --arg c "$context" '{hookSpecificOutput:{hookEventName:"SessionStart",additionalContext:$c}}' 2>/dev/null || exit 0
+
+exit 0

package/assets/hooks/dev-server-guard.sh

@@ -0,0 +1,115 @@
+#!/usr/bin/env bash
+# rt-hook: PreToolUse Bash|mcp__webstorm__execute_terminal_command|mcp__webstorm__execute_run_configuration|mcp__webstorm__execute_tool
+# Гард второго сервера разработки. PreToolUse.
+#
+# Приложения уже подняты владельцем, и всякая проверка через браузер идёт туда. Второй
+# экземпляр занимает лишний порт, отдаёт другую сборку и уводит разбор в сторону: расхождение
+# между двумя серверами читается как дефект правки. Вдобавок сборка, запущенная между делом,
+# гасит уже поднятый сервер молча.
+#
+# Отбивается всё, что ПОДНИМАЕТ сервер. Сборка, тесты, линтеры, запросы к поднятым портам и
+# осмотр слушателей проходят.
+#
+# Где именно подняты приложения, знает профиль проекта: .claude/rt-kit/project.sh, переменная
+# RT_STANDS. Нет профиля — текст отказа остаётся общим, сам гард работает.
+
+input="$(cat 2>/dev/null)"
+
+tool="$(printf '%s' "$input" | jq -r '.tool_name // empty' 2>/dev/null)"
+case "$tool" in
+    Bash | mcp__webstorm__execute_terminal_command | mcp__webstorm__execute_tool) ;;
+    # Готовая конфигурация запуска командной строки не показывает — видно только её имя.
+    # Отсюда правило: «serve», «dev» и «start» в имени отклоняются, потому что проверить, что
+    # за ними стоит, гард не может, а второй сервер стоит дороже лишнего отказа.
+    mcp__webstorm__execute_run_configuration)
+        name="$(printf '%s' "$input" | jq -r '.tool_input.configurationName // empty' 2>/dev/null)"
+        # Второй режим инструмента — временная конфигурация из пары «файл и строка»: имени у
+        # неё нет вовсе, и проверка по имени её пропускала. Именно так поднимается скрипт из
+        # манифеста пакета.
+        if [ -z "$name" ]; then
+            file="$(printf '%s' "$input" | jq -r '.tool_input.filePath // empty' 2>/dev/null)"
+            case "$file" in
+                */package.json|package.json)
+                    echo "Запуск скрипта прямо из манифеста: гард видит только файл и строку, а не сам скрипт, поэтому не может отличить подъём сервера от сборки. Приложения уже подняты владельцем — если нужна сборка или тест, запусти их командой в терминале." >&2
+                    exit 2 ;;
+            esac
+            exit 0
+        fi
+        # Слово «start» без границы ловило и «restart», который сервер не поднимает.
+        case "$(printf '%s' "$name" | tr '[:upper:]' '[:lower:]')" in
+            *serve*|*dev*|start*|*\ start*|*:start*)
+                echo "Конфигурация «${name}» похожа на подъём сервера разработки, а приложения уже подняты владельцем — проверяй их. Если конфигурация делает другое, запусти это командой: по имени гард содержимого не видит." >&2
+                exit 2 ;;
+        esac
+        exit 0 ;;
+    *) exit 0 ;;
+esac
+
+cmd="$(printf '%s' "$input" | jq -r '.tool_input.command // empty' 2>/dev/null)"
+[ -z "$cmd" ] && exit 0
+
+# Универсальный исполнитель среды передаёт настоящую команду вложенной строкой. Разбирать надо
+# её, а не обёртку: иначе имя раннера стоит сразу за кавычкой и ни одно правило до него не
+# дотягивается.
+if [ "$tool" = "mcp__webstorm__execute_tool" ] && command -v perl >/dev/null 2>&1; then
+    inner="$(printf '%s' "$cmd" | perl -0ne '
+        if (/--command(?:=|\s+)(?:"((?:[^"\\]|\\.)*)"|\x27([^\x27]*)\x27|(.+))/s) {
+            print defined $1 ? $1 : (defined $2 ? $2 : $3);
+        }
+    ' 2>/dev/null)"
+    [ -n "$inner" ] && cmd="$inner"
+fi
+
+# Гит ничего не слушает на портах, а тексты сообщений и веток свободно содержат слова вроде
+# «serve» — без этой ветки гард ловит собственный коммит про себя же.
+case "$cmd" in
+    git\ *|*/git\ *)
+        printf '%s' "$cmd" | grep -qE '(^|[[:space:]])git[[:space:]]+daemon([[:space:]]|$)' || exit 0 ;;
+esac
+
+# Профиль дерева: сперва умолчание пакета, поверх него — надстройка проекта, если она есть.
+rt_hooks_dir="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+for profile in "$rt_hooks_dir/../rt-kit/defaults/project.sh" "$rt_hooks_dir/../defaults/project.sh" "${CLAUDE_PROJECT_DIR:-.}/.claude/rt-kit/defaults/project.sh" "${CLAUDE_PROJECT_DIR:-.}/.claude/rt-kit/project.sh"; do
+    # shellcheck disable=SC1090
+    [ -f "$profile" ] && . "$profile" 2>/dev/null
+done
+stands="${RT_STANDS:-}"
+
+deny() {
+    if [ -n "$stands" ]; then
+        echo "$1 Приложения уже подняты владельцем: ${stands} — проверяй их. Свой экземпляр не поднимай; если порт не отвечает, скажи владельцу, а не запускай второй." >&2
+    else
+        echo "$1 Приложения уже подняты владельцем — проверяй их. Свой экземпляр не поднимай; если порт не отвечает, скажи владельцу, а не запускай второй." >&2
+    fi
+    exit 2
+}
+
+# Раннеры перечисляются явно. Группа «любое слово перед именем» отклоняла даже заметку о том,
+# что сервер поднимает владелец.
+RUNNER='((npx|pnpm|yarn|bun|npm)([[:space:]]+(exec|run|dlx))?[[:space:]]+)?'
+
+# Начало вызова: начало строки или разделитель команд. Кавычку в границы вносить нельзя — тогда
+# поиск по тексту и снятие процесса по шаблону читаются как запуск.
+BOUND='(^|[;&|(]|&&|\|\|)[[:space:]]*'
+
+printf '%s' "$cmd" | grep -qE "${BOUND}${RUNNER}(nx|ng)[[:space:]]+(run[[:space:]]+[^[:space:]]*:)?(serve|dev)" \
+    && deny "Запуск ещё одного сервера разработки через каркас."
+
+# Требование пробела сразу после имени рвало совпадение на двоеточии: скрипты вида «serve:site»
+# гард пропускал — то есть ровно те команды, ради которых написан.
+printf '%s' "$cmd" | grep -qE "${BOUND}(npm|pnpm|yarn|bun)([[:space:]]+run)?[[:space:]]+(dev|start|serve)([:._-][A-Za-z0-9:._-]*)?([[:space:]]|\$)" \
+    && deny "Запуск ещё одного сервера разработки через пакетный раннер."
+
+# Подкоманда обязательна: пока она была необязательной, под правило попадало голое слово
+# сборщика — то есть любой однострочник, где оно встречается внутри текста.
+printf '%s' "$cmd" | grep -qE "${BOUND}${RUNNER}vite([[:space:]]+(dev|serve|preview))?[[:space:]]*(\$|[;&|\"'])" \
+    && deny "Запуск ещё одного сервера разработки."
+printf '%s' "$cmd" | grep -qE "${BOUND}${RUNNER}(next|astro|nuxt)[[:space:]]+(dev|start|preview)([[:space:]]|\$)" \
+    && deny "Запуск ещё одного сервера разработки."
+
+# Статика поверх сборки — тот же второй экземпляр. Каждое имя под общим якорем начала команды:
+# без него перечисление пакетов и поиск по документам читались как запуск.
+printf '%s' "$cmd" | grep -qE "${BOUND}(python3?[[:space:]]+-m[[:space:]]+http\.server|${RUNNER}(http-server|live-server|serve)([[:space:]]|\$))" \
+    && deny "Подъём статического сервера поверх сборки — тот же второй экземпляр."
+
+exit 0