@vnptnan/gate 0.0.0-stage → 1.0.1

package/installer/install.ps1

@@ -0,0 +1,80 @@
+# Cai VNPTNAN_GATE len may dev Windows. Chay bang quyen admin (installer tu xin UAC).
+#   powershell -NoProfile -ExecutionPolicy Bypass -File installer\install.ps1 [-WhatIf]
+# Viec lam: copy bo cong cu vao %ProgramData%\VNPTNAN_GATE\current (chi admin ghi duoc), dang ky hook pre-commit,
+# pre-push, commit-msg o git config cap he thong bang co che hook.<ten>.event/command (Git for Windows >= 2.54, cung
+# co che VNPTNAN_HARNESS dang dung cho hook.vnptnan-guard, nhung TEN KHAC nen hai ben khong de len nhau),
+# them cli vao PATH may, tao thu muc log. Khong dong vao bat ky cau hinh nao cua VNPTNAN_HARNESS.
+# Keep this file ASCII-only (Windows PowerShell 5.1).
+[CmdletBinding(SupportsShouldProcess = $true)]
+param(
+  [string]$InstallRoot = (Join-Path $env:ProgramData 'VNPTNAN_GATE'),
+  [string]$Mode = 'enforce'   # enforce | audit (thi diem 2 tuan dau: audit)
+)
+$ErrorActionPreference = 'Stop'
+$source = Split-Path -Parent $PSScriptRoot
+
+$isAdmin = ([Security.Principal.WindowsPrincipal][Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)
+if (-not $isAdmin -and -not $WhatIfPreference) {
+  $args = @('-NoProfile', '-ExecutionPolicy', 'Bypass', '-File', $PSCommandPath, '-InstallRoot', $InstallRoot, '-Mode', $Mode)
+  Start-Process powershell -Verb RunAs -ArgumentList $args -Wait
+  exit $LASTEXITCODE
+}
+
+function Find-Git {
+  foreach ($c in @((Join-Path $env:ProgramFiles 'Git\cmd\git.exe'), (Join-Path $env:LOCALAPPDATA 'Programs\Git\cmd\git.exe'))) {
+    if (Test-Path $c) { return $c }
+  }
+  $g = Get-Command git -ErrorAction SilentlyContinue
+  if ($g) { return $g.Source }
+  throw 'Can Git for Windows (>= 2.54).'
+}
+$git = Find-Git
+$ver = (& $git --version) -replace '[^0-9.]', '' -split '\.'
+if ([int]$ver[0] -lt 2 -or ([int]$ver[0] -eq 2 -and [int]$ver[1] -lt 54)) {
+  Write-Warning "Git $($ver -join '.') chua ho tro hook theo config (can >= 2.54). Se chi copy bo cong cu; moi repo chay: vnptnan-gate install-hooks"
+  $configHooks = $false
+} else { $configHooks = $true }
+
+$current = Join-Path $InstallRoot 'current'
+if ($PSCmdlet.ShouldProcess($current, 'Copy bo cong cu')) {
+  New-Item -ItemType Directory -Force -Path $InstallRoot | Out-Null
+  if (Test-Path $current) { Remove-Item -Recurse -Force $current }
+  Copy-Item -Recurse -Force $source $current
+  Remove-Item -Recurse -Force (Join-Path $current '.git') -ErrorAction SilentlyContinue
+  # Admin va SYSTEM ghi, nguoi dung chi doc va chay: AI khong sua duoc rule tren may dev.
+  $acl = Get-Acl $InstallRoot
+  $acl.SetAccessRuleProtection($true, $false)
+  foreach ($id in 'BUILTIN\Administrators', 'NT AUTHORITY\SYSTEM') {
+    $acl.AddAccessRule((New-Object Security.AccessControl.FileSystemAccessRule($id, 'FullControl', 'ContainerInherit,ObjectInherit', 'None', 'Allow')))
+  }
+  $acl.AddAccessRule((New-Object Security.AccessControl.FileSystemAccessRule('BUILTIN\Users', 'ReadAndExecute', 'ContainerInherit,ObjectInherit', 'None', 'Allow')))
+  Set-Acl $InstallRoot $acl
+  # Che do: ghi vao gate.conf cua ban cai (dang ky thi diem audit)
+  $conf = Join-Path $current 'gate.conf'
+  (Get-Content $conf) -replace '^MODE=.*', "MODE=$Mode" | Set-Content -Encoding ascii $conf
+}
+
+$bashPath = ($current -replace '\\', '/')
+if ($configHooks) {
+  foreach ($h in @(@{ Name = 'vnptnan-gate-commit'; Event = 'pre-commit'; File = 'pre-commit' },
+                   @{ Name = 'vnptnan-gate-push'; Event = 'pre-push'; File = 'pre-push' },
+                   @{ Name = 'vnptnan-gate-msg'; Event = 'commit-msg'; File = 'commit-msg' })) {
+    if ($PSCmdlet.ShouldProcess("git config --system hook.$($h.Name)", 'Dang ky hook')) {
+      & $git config --system --replace-all "hook.$($h.Name).event" $h.Event
+      & $git config --system --replace-all "hook.$($h.Name).command" "sh '$bashPath/hooks/$($h.File)'"
+    }
+  }
+}
+
+if ($PSCmdlet.ShouldProcess('PATH (Machine)', 'Them cli')) {
+  $cli = Join-Path $current 'cli'
+  $path = [Environment]::GetEnvironmentVariable('Path', 'Machine')
+  if ($path -notlike "*$cli*") { [Environment]::SetEnvironmentVariable('Path', "$path;$cli", 'Machine') }
+}
+
+if ($PSCmdlet.ShouldProcess((Join-Path $env:ProgramData 'VNPTNAN_GATE\logs'), 'Tao thu muc log dung chung')) {
+  New-Item -ItemType Directory -Force -Path (Join-Path $InstallRoot 'logs') | Out-Null
+}
+
+Write-Host "Da cai VNPTNAN_GATE $(Get-Content (Join-Path $current 'VERSION')) tai $current (MODE=$Mode)."
+Write-Host 'Mo terminal moi va chay: vnptnan-gate doctor'

package/installer/uninstall.ps1

@@ -0,0 +1,15 @@
+# Go VNPTNAN_GATE khoi may dev. Chay bang quyen admin. Khong dong vao cau hinh cua VNPTNAN_HARNESS.
+# Keep this file ASCII-only (Windows PowerShell 5.1).
+param([string]$InstallRoot = (Join-Path $env:ProgramData 'VNPTNAN_GATE'))
+$ErrorActionPreference = 'Continue'
+$git = (Get-Command git -ErrorAction SilentlyContinue).Source
+if ($git) {
+  foreach ($n in 'vnptnan-gate-commit', 'vnptnan-gate-push', 'vnptnan-gate-msg') {
+    & $git config --system --remove-section "hook.$n" 2>$null
+  }
+}
+$cli = Join-Path $InstallRoot 'current\cli'
+$path = [Environment]::GetEnvironmentVariable('Path', 'Machine')
+[Environment]::SetEnvironmentVariable('Path', (($path -split ';' | Where-Object { $_ -and $_ -ne $cli }) -join ';'), 'Machine')
+if (Test-Path (Join-Path $InstallRoot 'current')) { Remove-Item -Recurse -Force (Join-Path $InstallRoot 'current') }
+Write-Host 'Da go VNPTNAN_GATE. Log cu van con trong %LOCALAPPDATA%\VNPTNAN_GATE de doi chieu.'

package/package.json

@@ -1,6 +1,47 @@
 {
   "name": "@vnptnan/gate",
-  "version": "0.0.0-stage",
-  "stub": true,
-  "description": "Temporary package placeholder for staged publishing"
+  "version": "1.0.1",
+  "description": "Cổng kiểm soát an toàn bảo mật thông tin khi dùng AI trong phát triển phần mềm: chặn secret, dữ liệu cá nhân, package bịa ở prompt, commit, push và máy chủ GitLab. Cài: npx @vnptnan/gate",
+  "keywords": [
+    "git-hooks",
+    "secret-scanning",
+    "ai-coding",
+    "claude-code",
+    "codex",
+    "gitlab",
+    "pre-receive",
+    "security"
+  ],
+  "license": "MIT",
+  "repository": {
+    "type": "git",
+    "url": "git+https://github.com/untilyou58/vnpt-gate.git"
+  },
+  "homepage": "https://github.com/untilyou58/vnpt-gate#readme",
+  "bin": {
+    "vnptnan-gate-setup": "bin/cli.js"
+  },
+  "files": [
+    "bin",
+    "engine",
+    "rules",
+    "hooks",
+    "cli",
+    "installer",
+    "server",
+    "ci",
+    "tools/lint-rules.sh",
+    "gate.conf",
+    "policy.json",
+    "VERSION",
+    "README.md",
+    "LICENSE"
+  ],
+  "engines": {
+    "node": ">=16.7"
+  },
+  "publishConfig": {
+    "registry": "https://registry.npmjs.org/",
+    "access": "public"
+  }
 }

package/policy.json

@@ -0,0 +1,4 @@
+{
+  "mode": "audit",
+  "note": "Chế độ áp cho mọi máy không cố định --audit/--enforce. Thí điểm: audit. Ngày 08/12 phát hành bản mới với mode enforce, mọi máy tự chuyển trong 24 giờ."
+}

package/rules/ai-tools.rules

@@ -0,0 +1,15 @@
+# Danh mục công cụ AI được phép dùng trong phát triển phần mềm tại Trung tâm. Đây là phụ lục của Bộ quy tắc sử dụng AI.
+# Engine không đọc file này; CLI "vnptnan-gate tools" in ra để dev tra cứu. Sửa qua merge request có lead và ATTT duyệt.
+#
+# Mỗi dòng, ngăn bằng TAB: tool  trạng-thái  loại-tài-khoản  dữ-liệu-tối-đa  ghi-chú
+#   trạng-thái: allowed (được dùng), pilot (thí điểm, có danh sách người dùng), denied (cấm)
+#   dữ-liệu-tối-đa: mức phân loại cao nhất được đưa vào công cụ (xem Bộ quy tắc, mục 4): C0 công khai, C1 nội bộ, C2 hạn chế, C3 mật
+claude-code	allowed	tài khoản tổ chức, không dùng dữ liệu để huấn luyện	C2	Cài VNPTNAN_HARNESS + VNPTNAN_GATE. Mã nguồn dự án được phép; không đưa dữ liệu khách hàng thật.
+codex	allowed	tài khoản tổ chức	C2	Như trên. Hook của Codex chặn thay vì hỏi.
+antigravity	allowed	tài khoản tổ chức	C2	Như trên.
+github-copilot	pilot	tài khoản tổ chức	C2	Chỉ khi dự án dùng GitHub; chưa có hook Harness.
+chatgpt-web	allowed	tài khoản tổ chức hoặc cá nhân đã tắt "cải thiện mô hình"	C1	Chỉ hỏi đáp chung, không dán mã nguồn dự án và không dán dữ liệu khách hàng.
+claude-web	allowed	tài khoản tổ chức hoặc cá nhân	C1	Như chatgpt-web.
+gemini-web	allowed	tài khoản tổ chức hoặc cá nhân	C1	Như chatgpt-web.
+deepseek-web	denied	-	-	Máy chủ ngoài phạm vi kiểm soát, điều khoản dữ liệu không đạt.
+ai-tool-chua-co-trong-danh-muc	denied	-	-	Muốn dùng công cụ mới: gửi đề nghị cho lead, ATTT đánh giá điều khoản dữ liệu rồi bổ sung vào danh mục này.

package/rules/gate.rules

@@ -0,0 +1,75 @@
+# Rule của Cổng kiểm soát ATBMTT (VNPTNAN_GATE). Sửa file này phải qua merge request có ATTT duyệt.
+#
+# Mỗi dòng, ngăn bằng TAB: id  level  kind  regex  message
+#   level: block (từ chối commit/push), warn (cho qua, ghi log)
+#   kind:
+#     line    regex so với từng DÒNG ĐƯỢC THÊM trong diff (hoặc mọi dòng khi quét cả cây)
+#     path    regex so với đường dẫn file được thêm/sửa
+#     count   regex field là "N|regex": file có từ N dòng khớp trở lên thì vi phạm (phát hiện dump dữ liệu)
+#     size    regex field là "BYTES|regex": file khớp regex và lớn hơn BYTES thì vi phạm
+#     allow   regex so với dòng nội dung; dòng khớp được bỏ qua mọi rule kind=line (giá trị mẫu, placeholder)
+#     exempt  regex so với đường dẫn; file khớp được bỏ qua mọi rule kind=path
+# Regex: không phân biệt hoa thường, cú pháp POSIX ERE (grep -E). Không dùng \d \w \s \b.
+# Mọi id bắt đầu bằng "g-" để không trùng id của VNPTNAN_HARNESS (company.rules).
+# Các dòng @tên là văn bản engine dùng khi trả lời.
+@block-suffix	Commit/push bị từ chối. Gỡ nội dung vi phạm khỏi thay đổi (hoặc khai ngoại lệ trong .vnptnan-gate/allow.rules qua merge request có ATTT duyệt). Không dùng --no-verify.
+@warn-suffix	Chỉ cảnh báo, đã ghi log. Hãy kiểm tra lại trước khi mở merge request.
+@audit-suffix	Chế độ thí điểm (audit): vi phạm mức block chỉ được ghi log, chưa từ chối.
+
+# ===== 1. Secret và thông tin xác thực (block) =====
+g-secret-private-key	block	line	-----BEGIN ([A-Z]+ )?PRIVATE KEY-----	Khoá bí mật dạng PEM.
+g-secret-aws	block	line	(^|[^A-Z0-9])(AKIA|ASIA)[0-9A-Z]{16}([^A-Z0-9]|$)	AWS access key.
+g-secret-github	block	line	gh[pousr]_[A-Za-z0-9]{36,}	GitHub token.
+g-secret-gitlab	block	line	glpat-[A-Za-z0-9_-]{20,}	GitLab personal access token.
+g-secret-anthropic	block	line	sk-ant-[A-Za-z0-9_-]{20,}	API key Anthropic (Claude).
+g-secret-openai	block	line	sk-(proj-)?[A-Za-z0-9_-]{20,}T3BlbkFJ[A-Za-z0-9_-]{20,}	API key OpenAI.
+g-secret-google	block	line	AIza[0-9A-Za-z_-]{35}	API key Google.
+g-secret-slack	block	line	xox[baprs]-[0-9A-Za-z-]{10,}	Slack token.
+g-secret-telegram	block	line	[0-9]{8,10}:AA[0-9A-Za-z_-]{33}	Telegram bot token.
+g-secret-jwt	block	line	eyJ[A-Za-z0-9_-]{10,}\.eyJ[A-Za-z0-9_-]{10,}\.[A-Za-z0-9_-]{10,}	JSON Web Token thật.
+g-secret-url-cred	block	line	[a-z][a-z0-9+.-]*://[^/:@ "']+:[^@/ "']{3,}@[a-z0-9.-]	Mật khẩu nhúng trong URL (user:pass@host).
+g-secret-connstring	block	line	(data source|server|host|user id|uid)[ ]*=[^;]*;[^#]*(password|pwd)[ ]*=[ ]*[^;"' ]{4,}	Chuỗi kết nối database có mật khẩu.
+g-secret-oracle-ezconnect	block	line	(^|[^a-z0-9_/])[a-z][a-z0-9_$]*/[^@/ \"']{4,}@(([a-z0-9-]+\.)+[a-z]{2,}|[0-9]{1,3}(\.[0-9]{1,3}){3}|[a-z0-9_.-]+:[0-9]{2,5})(:[0-9]+)?(/[a-z0-9_.]+)?([^a-z0-9_.]|$)|(sqlplus|sqlldr|rman|expdp|impdp)[^\"']* [a-z][a-z0-9_$]*/[^@/ \"']{4,}@[a-z0-9_]+	Chuỗi user/mật_khẩu@host/service của Oracle.
+g-secret-generic-key	block	line	(api[_-]?key|secret[_-]?key|access[_-]?token|auth[_-]?token|client[_-]?secret|private[_-]?key|refresh[_-]?token)["']?[ ]*[:=][ ]*["'][A-Za-z0-9/+_=.-]{16,}["']	Khoá/token gán cứng trong mã.
+g-secret-password	block	line	(password|passwd|pwd|mat[_-]?khau|matkhau)["']?[ ]*[:=][ ]*["'][^"']{6,}["']	Mật khẩu gán cứng trong mã.
+g-secret-basic-auth	block	line	authorization["']?\]?[ ]*[:=][ ]*["']?basic [A-Za-z0-9+/=]{16,}	Header Basic Auth chứa thông tin xác thực.
+g-secret-bearer	block	line	authorization["']?\]?[ ]*[:=][ ]*["']?bearer [A-Za-z0-9._-]{20,}	Header Bearer token thật.
+
+# ===== 2. Dữ liệu cá nhân và dữ liệu khách hàng (Luật BVDLCN 91/2025/QH15) =====
+g-pii-cccd	block	line	(cccd|cmnd|can cuoc|căn cước|so dinh danh|số định danh|citizen[_ ]?id|national[_ ]?id)[^0-9]{0,40}0[0-9]{11}([^0-9]|$)	Số CCCD/định danh cá nhân thật.
+g-pii-phone-bulk	block	count	20|(^|[^0-9])(0|\+84)(3|5|7|8|9)[0-9]{8}([^0-9]|$)	File chứa hàng loạt số điện thoại: dấu hiệu dump dữ liệu khách hàng.
+g-pii-email-bulk	warn	count	50|[a-z0-9._%+-]+@[a-z0-9.-]+\.[a-z]{2,}	File chứa hàng loạt địa chỉ email.
+g-pii-cccd-bulk	block	count	10|(^|[^0-9])0[0-9]{11}([^0-9]|$)	File chứa hàng loạt số 12 chữ số: dấu hiệu dump CCCD.
+g-data-dump	warn	size	1048576|\.(sql|dmp|dump|bak|csv|tsv|xlsx?|json)$	File dữ liệu lớn hơn 1 MB: kiểm tra có phải dữ liệu thật của khách hàng không.
+
+# ===== 3. Thông tin hạ tầng nội bộ (warn) =====
+g-internal-ip	warn	line	(^|[^0-9.])(10\.[0-9]{1,3}|172\.(1[6-9]|2[0-9]|3[01])|192\.168)\.[0-9]{1,3}\.[0-9]{1,3}([^0-9.]|$)	Địa chỉ IP mạng nội bộ trong mã nguồn.
+g-internal-host	warn	line	[a-z0-9-]+\.(vnpt\.vn|vnpt\.local|vnptna\.local|nghean\.local|corp\.local)	Tên máy chủ nội bộ trong mã nguồn.
+
+# ===== 4. File không được đưa vào repo (path) =====
+g-path-env	block	path	(^|/)\.env(\.[^/]+)?$	File .env chứa secret.
+g-path-key	block	path	\.(pem|key|pfx|p12|jks|keystore|ppk|asc|gpg|kdbx)$	File khoá bí mật.
+g-path-cloud-cred	block	path	(^|/)(\.aws/credentials|\.git-credentials|\.docker/config\.json|\.kube/config|\.npmrc|\.pypirc|\.netrc|_netrc)$	File credential của công cụ.
+g-path-appsettings	block	path	(^|/)appsettings\.(production|staging|prod)[^/]*\.json$	Cấu hình môi trường thật có thể chứa secret.
+g-path-oracle-wallet	block	path	(^|/)(cwallet\.sso|ewallet\.p12|ewallet\.pem)$	Oracle wallet.
+g-path-oracle-net	warn	path	(^|/)(tnsnames\.ora|sqlnet\.ora|ldap\.ora)$	Cấu hình mạng Oracle lộ địa chỉ máy chủ.
+g-path-ai-config	block	path	(^|/)(\.claude/settings\.local\.json|\.claude\.json|\.codex/auth\.json|\.codex/config\.toml|\.gemini/oauth_creds\.json|\.mcp\.json|\.cursor/mcp\.json)$	Cấu hình cục bộ của công cụ AI thường chứa token.
+g-path-ai-session	block	path	(^|/)(\.claude/projects/|\.claude/history\.jsonl|\.codex/sessions/|\.codex/history\.jsonl|\.vnptnanskill/)	Bản ghi phiên làm việc với AI chứa toàn bộ ngữ cảnh, không đưa lên repo.
+g-path-db-file	warn	path	\.(dmp|bak|mdf|ldf|sqlite|db)$	File database: kiểm tra có dữ liệu thật không.
+g-exempt-sample	block	exempt	\.(example|sample|template|dist)(\.[a-z]+)?$	File mẫu, không chứa secret thật.
+
+# ===== 5. Dấu vết mã do AI sinh ra chưa được rà soát (warn) =====
+g-ai-placeholder	warn	line	(\.\.\. ?(existing|rest of( the)?|remaining|previous) code|(//|#|<!--) ?\.\.\. ?(existing|rest|unchanged)|as an ai (language )?model|i cannot (help|assist) with)	AI để sót đoạn placeholder trong mã.
+g-ai-todo	warn	line	(todo|fixme)[: ]+.*(ai[ -]generated|generated by (ai|claude|codex|copilot|gemini)|verify this)	Mã AI sinh ra có ghi chú chưa được kiểm tra.
+
+# ===== 6. Mẫu mã không an toàn phổ biến khi AI sinh mã (warn, SAST nhẹ) =====
+g-sast-tls-off	warn	line	(ServerCertificateValidationCallback[ ]*=.*true|TrustServerCertificate[ ]*=[ ]*true|rejectUnauthorized[ ]*:[ ]*false|verify[ ]*=[ ]*false|NODE_TLS_REJECT_UNAUTHORIZED[ ]*=[ ]*["']?0)	Tắt kiểm tra chứng thư TLS.
+g-sast-cors-any	warn	line	(AllowAnyOrigin\(\)|Access-Control-Allow-Origin["' ]*[:,][ ]*["']\*)	CORS mở cho mọi origin.
+g-sast-sql-concat	warn	line	(ExecuteSqlRaw|FromSqlRaw|SqlCommand|OracleCommand|\.query)\([^)]*(\+|\$"|string\.Format)	Câu SQL ghép chuỗi: nguy cơ SQL injection.
+g-sast-weak-hash	warn	line	(MD5|SHA1)\.Create\(|createHash\(["'](md5|sha1)["']\)	Thuật toán băm yếu cho mục đích bảo mật.
+g-sast-eval	warn	line	(^|[^a-z_.])(eval|new Function)\(|dangerouslySetInnerHTML|Process\.Start\([^)]*\+	Thực thi mã/lệnh động từ chuỗi.
+g-sast-destructive-code	warn	line	(EnsureDeleted(Async)?\(|Execute(Sql|SqlRaw|SqlInterpolated)[A-Za-z]*\([^)]*(drop|truncate) )	Mã xoá dữ liệu khi chạy (VNPTNAN_HARNESS đã hỏi lúc AI ghi; cổng ghi vết lần nữa trước khi lên repo).
+
+# ===== 7. Giá trị mẫu được bỏ qua (allow) =====
+g-allow-placeholder	warn	allow	(changeme|change_me|your[_-]?(api[_-]?key|token|password|secret)|<[a-z_ -]+>|\$\{[a-z_.:-]+\}|\{\{[a-z_. -]+\}\}|%[A-Z_]+%|xxxx|\*\*\*\*|placeholder|example\.com|dummy|khong-phai-that|(^|["'=: ])(password123|123456|secret123|p@ssw0rd|admin123)(["' ]|$))	Giá trị mẫu, không phải secret thật.
+# Ngoại lệ tại chỗ: thêm "gate-allow:<id-rule> <lý do>" vào chính dòng đó (engine xử lý, chỉ bỏ qua đúng rule đó, vẫn ghi log).

package/rules/packages.rules

@@ -0,0 +1,18 @@
+# Rule về thành phần bên thứ ba (dependency) và giấy phép. Sửa qua merge request có ATTT và Pháp chế duyệt.
+#
+# Mỗi dòng, ngăn bằng TAB: type  level  regex  message
+#   type:
+#     deny-license    regex so với tên giấy phép của package (từ package.json hoặc .nuspec)
+#     deny-package    regex so với tên package (npm hoặc NuGet), không phân biệt hoa thường
+#     allow-registry  regex so với URL registry cho phép (npm registry / NuGet source); nếu có dòng này, URL khác sẽ warn
+#   level: block, warn
+#
+# Giấy phép copyleft mạnh không dùng trong sản phẩm phân phối cho khách hàng (Pháp chế rà theo P0.11 của Harness).
+deny-license	block	^(AGPL|GPL-3|GPL-2|SSPL|EUPL|CC-BY-NC|BUSL)	Giấy phép copyleft/giới hạn thương mại, cần Pháp chế duyệt trước khi dùng.
+deny-license	warn	^(LGPL|MPL|CDDL|EPL|OSL)	Giấy phép copyleft yếu, cần ghi nhận và tuân thủ điều kiện.
+deny-license	warn	^(UNLICENSED|UNKNOWN|SEE LICENSE|NONE)?$	Package không khai giấy phép, không được dùng khi chưa rõ.
+# Package bị gỡ/độc hại hoặc tên hay bị AI bịa (slopsquatting). Bổ sung khi ATTT có thông tin.
+deny-package	block	^(event-stream@3\.3\.6|ua-parser-js@0\.7\.29|colors@1\.4\.1|faker@6\.6\.6|node-ipc@(10\.1\.[12]|9\.2\.2))$	Package có lịch sử bị cài mã độc.
+deny-package	warn	^(request|node-sass|moment|tslint|protractor|bower|gulp-util)$	Package đã ngừng bảo trì (deprecated).
+# Registry cho phép. Khi có registry nội bộ, thêm dòng và chuyển mức sang block.
+allow-registry	warn	^https://(registry\.npmjs\.org|api\.nuget\.org)/	Registry chính thức.

package/server/pre-receive

@@ -0,0 +1,13 @@
+#!/bin/bash
+# Server hook pre-receive cho GitLab tự host (mọi bậc, kể cả Free): lớp kiểm soát không phụ thuộc máy dev.
+# Cài toàn cục: copy thư mục VNPTNAN_GATE lên máy chủ (ví dụ /opt/vnptnan-gate), rồi
+#   ln -s /opt/vnptnan-gate/server/pre-receive /var/opt/gitlab/gitaly/custom_hooks/pre-receive.d/10-vnptnan-gate
+# Xem installer/install-server.sh. GitLab chỉ hiện ra cho người đẩy những dòng bắt đầu bằng "GL-HOOK-ERR:".
+# stdin: <old> <new> <ref> mỗi dòng. Biến có sẵn: GL_ID GL_USERNAME GL_PROJECT_PATH GL_PROTOCOL GL_REPOSITORY.
+root=${VNPTNAN_GATE_HOME:-$(cd "$(dirname "$(readlink -f "$0")")/.." && pwd)}
+export GATE_SERVER=1
+export GATE_LOG=${GATE_LOG:-/var/log/vnptnan-gate/gate.log}
+# Trên server không có node_modules hay cache NuGet: chỉ quét nội dung.
+export GATE_DEPS=off
+# Bỏ qua kiểm tra khi push được GitLab tạo (web UI merge, revert) nếu muốn: GL_PROTOCOL=web. Mặc định vẫn quét.
+exec bash "$root/engine/gate-scan.sh" receive

package/tools/lint-rules.sh

@@ -0,0 +1,37 @@
+#!/usr/bin/env bash
+# Kiểm tra cú pháp các file rule: đúng số cột, mức và loại hợp lệ, regex biên dịch được bằng grep -E, id không trùng và đều bắt đầu bằng g-.
+set -u
+ROOT=$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)
+err=0
+check_regex() { printf 'x' | grep -qiE -- "$1" 2>/dev/null; [ $? -le 1 ]; }
+
+ids=()
+while IFS= read -r line || [ -n "$line" ]; do
+  line=${line%$'\r'}
+  [ -z "$line" ] && continue
+  case "$line" in '#'*|'@'*) continue ;; esac
+  IFS=$'\t' read -r id level kind re msg <<< "$line"
+  [ "$(printf '%s' "$line" | awk -F'\t' '{print NF}')" = 5 ] || { echo "gate.rules: sai số cột: $line"; err=1; }
+  case "$id" in g-*) ;; *) echo "gate.rules: id phải bắt đầu bằng g- (tránh trùng VNPTNAN_HARNESS): $id"; err=1 ;; esac
+  for x in "${ids[@]:-}"; do [ "$x" = "$id" ] && { echo "gate.rules: id trùng: $id"; err=1; }; done
+  ids+=("$id")
+  case "$level" in block|warn) ;; *) echo "gate.rules: mức sai ở $id: $level"; err=1 ;; esac
+  case "$kind" in
+    line|path|allow|exempt) check_regex "$re" || { echo "gate.rules: regex không hợp lệ ở $id"; err=1; } ;;
+    count|size) case "$re" in [0-9]*'|'*) check_regex "${re#*|}" || { echo "gate.rules: regex không hợp lệ ở $id"; err=1; } ;; *) echo "gate.rules: $kind cần dạng N|regex ở $id"; err=1 ;; esac ;;
+    *) echo "gate.rules: loại sai ở $id: $kind"; err=1 ;;
+  esac
+  printf '%s' "$re" | grep -qE '\\[dwsb]|\(\?' && { echo "gate.rules: $id dùng \\d \\w \\s \\b hoặc (?...) không có trong POSIX ERE"; err=1; }
+done < "$ROOT/rules/gate.rules"
+
+while IFS= read -r line || [ -n "$line" ]; do
+  line=${line%$'\r'}
+  [ -z "$line" ] && continue
+  case "$line" in '#'*) continue ;; esac
+  IFS=$'\t' read -r t l re msg <<< "$line"
+  case "$t" in deny-license|deny-package|allow-registry) ;; *) echo "packages.rules: loại sai: $t"; err=1 ;; esac
+  case "$l" in block|warn) ;; *) echo "packages.rules: mức sai: $l"; err=1 ;; esac
+  check_regex "$re" || { echo "packages.rules: regex không hợp lệ: $re"; err=1; }
+done < "$ROOT/rules/packages.rules"
+
+[ "$err" = 0 ] && echo "rules ok: ${#ids[@]} rule" || exit 1