spectrum-cli 5.0.2 → 5.1.0

package/CHANGELOG.md

@@ -9,6 +9,19 @@ This is the changelog of the `spectrum-cli` npm package. Its version comes from
 `package.json`; the release commands use Git tags and `CHANGELOG.md` in the
 **target project** and do not update that project's `package.json`.
 
+## 🚀 [5.1.0]
+
+### Changed
+
+- Deployment-адреса и GitLab-проекты задаются окружением: встроенные URL/namespace удалены, примеры и fixtures используют example-домены. Добавлены preflight наличия настроек, доступности, GitLab token scope/роли, YouTrack identity/проектов/полей и registry login/чтения. Права записи не объявляются доказанными по успешному GET.
+
+### Added
+
+- Все новые automation-команды поддерживают `-d, --dry` и `-s, --silence`: dry выполняет только предпроверки без изменения исходников, отчётов и удалённых сущностей; silence скрывает успешные предпроверки, сохраняя ошибки и результаты.
+
+- Команды `nextjs licenses`, `sbom catalog resolve/populate` и `security scan/track/reconcile/repair` перенесены из CI-компонентов в JavaScript-модули CLI. Сохранены OCI provenance/integrity, CVE и проектные задачи, Priority, изоляция проверок, проверки исправлений и отчёты для Mattermost.
+- Автоматизация работает без интерактивных запросов и проверки обновлений; версии CLI в CI закрепляются служебными образами. Python для новых команд не требуется.
+
 ## 🚀 [5.0.2] - 2026-10-23
 
 ### Changed

package/README.md

@@ -14,7 +14,7 @@ npm install -g spectrum-cli
 spectrum --help
 ```
 
-Перед выполнением каждой команды CLI проверяет опубликованную версию `spectrum-cli`
+Перед выполнением команд workflow CLI проверяет опубликованную версию `spectrum-cli`
 в npm Registry. Если доступна новая версия, показывает текущую и новую версии и
 команду `spectrum upgrade`. Она запускает `npm install -g spectrum-cli`.
 Проверка ограничена 200 мс; недоступность Registry не влияет на выполнение
@@ -476,3 +476,134 @@ MIT License - см. [LICENSE](./LICENSE)
 ---
 
 _Создано для автоматизации повседневных задач разработки_ 🛠️
+
+## Команды для CI: Next.js, SBOM и security
+
+Начиная с 5.1.0 логика команд написана на JavaScript и входит в npm-пакет.
+Команды не задают вопросов и не проверяют обновления CLI. Они не запускают
+release/hotfix preflight, рассчитанный на интерактивную работу разработчика.
+
+| Команда | Назначение | Результат |
+| --- | --- | --- |
+| `spectrum nextjs licenses` | Сохранить исходные LICENSE уже включённых compiled-пакетов Next.js | JSON summary в stdout; код 2 при неполном результате |
+| `spectrum sbom catalog resolve` | Найти Next в immutable образе, проверить OCI-каталоги, запросить отсутствующие версии | `sbom-catalog/<prefix>/{selection.json,report.json,report.md}` |
+| `spectrum sbom catalog populate` | Построить каталог по официальному npm tarball и историческому Git tree | `sbom-catalog-updater/{report.json,report.md}` |
+| `spectrum security scan` | Проверить `npm audit --omit=dev`, runtime и фактическую версию Node | `security-report/findings.json`, raw evidence, `scan.env` |
+| `spectrum security reconcile` | Запустить центральный tracker и получить ссылки на задачи | `security-report/tracked.json` |
+| `spectrum security track` | Найти/создать общие CVE и проектные задачи | `security-report/tracked.json` в центральном pipeline |
+| `spectrum security repair` | Исправить одну проектную задачу за MR, выполнить проверки и повторный аудит | `security-report/{final.json,message.json}` |
+
+Код 0 означает успешное выполнение, 1 — ошибку security/запуска, 2 — неполный
+результат SBOM или LICENSE. Команды работают в текущем каталоге. Отсутствующие
+credentials/некорректные отчёты приводят к ошибке, а не к чистому аудиту.
+Автоматическое слияние MR отключено; сетевые записи не повторяются вслепую.
+
+Компоненты передают свои inputs через job-local окружение. `security scan`
+читает `NIGHTLY_YOUTRACK_PROJECT`, `NIGHTLY_YOUTRACK_TIME_TRACKING_ARTICLE`,
+`NIGHTLY_YOUTRACK_TESTER`, необязательный `NIGHTLY_YOUTRACK_SUBSYSTEM`,
+`NIGHTLY_DOCKERFILE`, `NIGHTLY_PLATFORMS` и `NIGHTLY_CHECK_COMMANDS` (JSON argv).
+Токены `GLAB_BOT_PAT` и `YOUTRACK_PRIVATE_TOKEN` остаются секретными CI variables;
+YouTrack-токен нужен только центральному tracker. Для registry используются
+`NEXUS_USER`/`NEXUS_PASSWORD` либо стандартные CI registry credentials.
+Секреты автоматизации исключаются из окружения выполняемых проверок проекта.
+
+`sbom catalog resolve` читает `SBOM_CATALOG_CLIENT_ENABLED=true`,
+`SBOM_CATALOG_FRAMEWORK=nextjs`, `SBOM_CATALOG_PREFIX` (по умолчанию `site:`),
+`SBOM_CATALOG_REPOSITORY`, `DOCKER_IMAGE`, `APP_VERSION` и стандартные GitLab
+`CI_*` variables. Чтение каталога использует `SBOM_CATALOG_USER` и
+`SBOM_CATALOG_PASSWORD`, если заданы. `populate` требует защищённый `main`,
+`NEXT_CATALOG_VERSIONS` (JSON-массив 1..10 точных версий) и центральные
+`NEXUS_USER`/`NEXUS_PASSWORD`. Namespace записи задаёт только доверенная
+project variable `SBOM_CATALOG_PUBLISH_REPOSITORY`.
+
+Внешние инструменты: Linux amd64 для SBOM bootstrap; Git для каталога,
+Trivy/Skopeo/Buildah для runtime-аудита и исправлений. SBOM-команды скачивают
+закреплённые ORAS/Syft с проверкой SHA-256, ограничениями размера и времени.
+Python для этих команд не требуется. Они не выполняют код из npm tarball
+или upstream build-рецептов. Неоднозначное происхождение остаётся unresolved.
+Поля CVE, Severity, Priority и Type=Group проверяются до создания подзадач;
+CRITICAL получает Stopper (Неотложная), HIGH — Critical (Критическая).
+
+Образы и адреса сервисов задаёт CI-конфигурация конкретной установки.
+CLI не содержит дефолтов для YouTrack, registry или внутренних GitLab-проектов.
+Само наличие команды `track` не сериализует процессы: job должен оставаться
+в одном центральном проекте с `resource_group: nightly-youtrack-global`.
+Отдельный consumer lock `nightly-security-fix` защищает исправления проекта.
+
+Для проверки миграции:
+
+```sh
+npm ci
+npm test -- --runInBand
+npm pack --dry-run
+```
+
+Тесты используют локальные Git-репозитории и fake API. Зафиксированные parity
+fixtures получены из прежнего Python-кода; исполняемый Python в пакет не входит.
+Публикация CLI, образов, компонентов и запуск живого pipeline — отдельные шаги.
+
+### Preflight для команд автоматизации
+
+Обязательные deployment-настройки задаются явно:
+
+| Команда | Настройки |
+| --- | --- |
+| `security track` | `YOUTRACK_URL`, `YOUTRACK_PRIVATE_TOKEN`, `CI_API_V4_URL`, `GLAB_BOT_PAT`, идентификаторы consumer job/project и component SHA |
+| `security reconcile` | `NIGHTLY_TRACKER_PROJECT`, `NIGHTLY_COMPONENT_SHA`, `NIGHTLY_SCAN_JOB_ID`, `CI_PROJECT_ID`, GitLab API/token; при пустом отчёте сеть не нужна |
+| `security repair` | GitLab API/token и результаты scan/tracking; при пустом отчёте запись и проверка токена не нужны |
+| `sbom catalog resolve` | `SBOM_CATALOG_REPOSITORY`, `DOCKER_IMAGE`, `APP_VERSION`; `SBOM_CATALOG_UPDATER_PROJECT` для запроса отсутствующих версий |
+| `sbom catalog populate` | `SBOM_CATALOG_PUBLISH_REPOSITORY`, `NEXUS_USER`, `NEXUS_PASSWORD`, защищённый main и точные `NEXT_CATALOG_VERSIONS` |
+| `security scan/repair` с `NEXUS_*` | Дополнительно явный `NIGHTLY_REGISTRY_HOSTS`; один логин без пароля или наоборот считается ошибкой |
+
+В GitLab выполняются GET `/user`, `/personal_access_tokens/self` и чтение
+целевых проектов. Проверяются активность токена, scope `api` для записи
+(`api`/`read_api` для чтения), эффективная роль Developer/Reporter и состояние
+проекта. Fine-grained/прочие токены, для которых introspection не подтверждает
+эти scope, не считаются проверенными. Защита веток/тегов дополнительно
+проверяется сервером при конкретной операции.
+
+В YouTrack выполняются GET `/users/me`, чтение двух проектов, их полей и
+поиск задач. До создания первой задачи проверяются активность пользователя,
+доступность проектов и обязательные поля. Ответы 401/403, недоступность и
+неверный TLS приводят к ошибке с названием проверки; секреты/тела ответов
+не выводятся. Инспекция полей не требует тестового изменения проекта.
+
+Writer выполняет ORAS login и чтение точного namespace до скачивания исходников
+и построения каталога. Preflight сохраняется в отчёте. Чтение/логин не доказывают
+права Create/Update/Link Issue, доступ к приватным полям, workflow-переходам или
+registry push: эти права проверяются соответствующими операциями. Они явно
+помечены `checked_by_operations`/`checked_by_publish`, без ложного статуса
+«запись проверена». Preflight не создаёт задач, MR, upload-сессий или пробных
+каталогов. Ошибка preflight останавливает следующие изменения и остаётся
+в JSON/Markdown/notification-артефактах, когда исходный отчёт уже доступен.
+
+Источник контрактов: [GitLab token scopes](https://docs.gitlab.com/security/tokens/access_token_scopes/),
+[YouTrack My User Profile](https://www.jetbrains.com/help/youtrack/devportal/resource-api-users-me.html),
+[YouTrack project fields](https://www.jetbrains.com/help/youtrack/devportal/resource-api-admin-projects-projectID-customFields.html).
+
+### Dry и silence для команд автоматизации
+
+Все семь команд `nextjs licenses`, `sbom catalog resolve/populate` и
+`security scan/track/reconcile/repair` поддерживают `-d, --dry` и
+`-s, --silence`, включая сочетание `-ds`.
+
+```sh
+spectrum nextjs licenses --dry
+spectrum sbom catalog populate --dry --silence
+spectrum security repair -ds
+```
+
+`--dry` выполняет предпроверки настроек, файлов, инструментов и доступов,
+после чего останавливается перед действиями команды. Он не копирует LICENSE,
+не выполняет npm audit/Trivy/Syft scan или исправления, не создаёт задачи,
+MR и downstream pipeline, не публикует каталоги и не перезаписывает отчёты.
+Для проверки используются GET-запросы, чтение image descriptor и metadata
+Git/проектов; SBOM preflight может загрузить закреплённые инструменты во
+временную папку и выполнить registry login с временным auth-файлом.
+Временные файлы удаляются; исходники, lockfiles и существующие артефакты
+сохраняются. При неполных входных отчётах dry завершается с ошибкой.
+
+`--silence` скрывает только сообщения об успешно пройденных предпроверках.
+Ошибки, предупреждения, результаты команды и итог dry остаются видимыми.
+Это тот же смысл флага, что у release/hotfix команд. Без dry выполняются
+обычные действия и сохраняются прежние коды завершения 0/1/2.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "spectrum-cli",
-  "version": "5.0.2",
+  "version": "5.1.0",
   "description": "🚀 Modern CLI for development workflow automation - release management, versioning, and changelog generation",
   "main": "index.js",
   "bin": {
@@ -49,7 +49,9 @@
     "url": "https://github.com/dnwSilver/spectrum-cli/issues"
   },
   "dependencies": {
-    "commander": "^11.1.0"
+    "commander": "^11.1.0",
+    "semver": "7.8.5",
+    "yaml": "2.9.1"
   },
   "engines": {
     "node": ">=20.0.0",

package/src/automation/index.js

@@ -0,0 +1,297 @@
+// Shared bounded IO for noninteractive CI commands. Never execute shell strings.
+const fs = require("node:fs");
+const os = require("node:os");
+const path = require("node:path");
+const crypto = require("node:crypto");
+const { spawnSync } = require("node:child_process");
+const { gunzipSync } = require("node:zlib");
+const { isDeepStrictEqual } = require("node:util");
+
+const SEMVER =
+  /^(?:0|[1-9]\d*)\.(?:0|[1-9]\d*)\.(?:0|[1-9]\d*)(?:-[0-9A-Za-z-]+(?:\.[0-9A-Za-z-]+)*)?(?:\+[0-9A-Za-z-]+(?:\.[0-9A-Za-z-]+)*)?(?![\s\S])/;
+const DIGEST = /^sha256:[a-f0-9]{64}(?![\s\S])/;
+const HEX64 = /^[a-f0-9]{64}(?![\s\S])/;
+const COMMIT = /^[a-f0-9]{40}(?![\s\S])/;
+function ensure(condition, message) {
+  if (!condition) throw new Error(message);
+}
+function sha(data, algorithm = "sha256") {
+  return crypto.createHash(algorithm).update(data).digest("hex");
+}
+function sorted(value) {
+  if (Array.isArray(value)) return value.map(sorted);
+  if (value && typeof value === "object" && !Buffer.isBuffer(value))
+    return Object.fromEntries(
+      Object.keys(value)
+        .sort()
+        .map((key) => [key, sorted(value[key])]),
+    );
+  return value;
+}
+function stable(value) {
+  return JSON.stringify(sorted(value));
+}
+function json(value) {
+  try {
+    return JSON.parse(Buffer.isBuffer(value) ? value.toString("utf8") : value);
+  } catch {
+    throw new Error("Invalid JSON data");
+  }
+}
+function read(file) {
+  return json(fs.readFileSync(file));
+}
+function save(file, value) {
+  fs.mkdirSync(path.dirname(file), { recursive: true });
+  const tmp = file + ".tmp";
+  fs.writeFileSync(tmp, JSON.stringify(value, null, 2) + "\n");
+  fs.renameSync(tmp, file);
+}
+function temp(prefix) {
+  return fs.mkdtempSync(path.join(os.tmpdir(), prefix));
+}
+function remove(directory) {
+  fs.rmSync(directory, { recursive: true, force: true });
+}
+async function temporary(prefix, action) {
+  const dir = temp(prefix);
+  try {
+    return await action(dir);
+  } finally {
+    remove(dir);
+  }
+}
+function safePath(value, absolute = false) {
+  return (
+    typeof value === "string" &&
+    !!value &&
+    !/[\\\x00-\x1f]/.test(value) &&
+    value.startsWith("/") === absolute &&
+    value
+      .replace(/^\//, "")
+      .split("/")
+      .every((part) => part && part !== "." && part !== "..")
+  );
+}
+function repositoryPath(root, relative) {
+  ensure(safePath(relative), "Expected a repository-relative path");
+  const base = fs.realpathSync(root);
+  const target = path.resolve(base, relative);
+  let cursor = base;
+  for (const part of relative.split("/")) {
+    cursor = path.join(cursor, part);
+    if (
+      fs.existsSync(cursor) ||
+      (() => {
+        try {
+          fs.lstatSync(cursor);
+          return true;
+        } catch {
+          return false;
+        }
+      })()
+    ) {
+      const real = fs.realpathSync(cursor);
+      ensure(real.startsWith(base + path.sep), "Path leaves repository");
+    }
+  }
+  return target;
+}
+function exec(
+  args,
+  {
+    cwd,
+    env = process.env,
+    input,
+    allowed = [0],
+    timeout = 1800000,
+    maxBuffer = 32 * 1024 * 1024,
+    binary = false,
+    label,
+  } = {},
+) {
+  ensure(
+    Array.isArray(args) &&
+      args.length &&
+      args.every((arg) => typeof arg === "string" && !arg.includes("\0")),
+    "Expected command argv",
+  );
+  const result = spawnSync(args[0], args.slice(1), {
+    cwd,
+    env,
+    input,
+    timeout,
+    maxBuffer,
+    encoding: binary ? null : "utf8",
+    windowsHide: true,
+  });
+  ensure(
+    !result.error && allowed.includes(result.status),
+    `${label || path.basename(args[0]) + " " + (args[1] || "")} failed (exit ${result.status})`,
+  );
+  return {
+    stdout: result.stdout,
+    stderr: result.stderr,
+    status: result.status,
+  };
+}
+const sleep = (ms) => new Promise((resolve) => setTimeout(resolve, ms));
+async function responseBytes(response, limit) {
+  const chunks = [];
+  let size = 0;
+  for await (const chunk of response.body || []) {
+    size += chunk.length;
+    if (size > limit) {
+      await response.body?.cancel?.().catch(() => {});
+      throw new Error("Download limit exceeded");
+    }
+    chunks.push(Buffer.from(chunk));
+  }
+  return Buffer.concat(chunks);
+}
+async function request(
+  url,
+  {
+    method = "GET",
+    headers = {},
+    body,
+    limit = 32 * 1024 * 1024,
+    timeout = 60000,
+    fetchImpl = fetch,
+  } = {},
+) {
+  const controller = new AbortController();
+  const timer = setTimeout(() => controller.abort(), timeout);
+  try {
+    const response = await fetchImpl(url, {
+      method,
+      headers,
+      body,
+      redirect: "manual",
+      signal: controller.signal,
+    });
+    const bytes = await responseBytes(response, limit);
+    return { status: response.status, headers: response.headers, body: bytes };
+  } finally {
+    clearTimeout(timer);
+  }
+}
+// Extract data only. No archive entry is ever written to the filesystem.
+function tarEntries(
+  gzip,
+  {
+    maxUnpacked = 1024 * 1024 * 1024,
+    maxFile = 32 * 1024 * 1024,
+    maxEntries = 30000,
+  } = {},
+) {
+  const bytes = gunzipSync(gzip, {
+    maxOutputLength: maxUnpacked + maxEntries * 1024,
+  });
+  const entries = [];
+  let offset = 0;
+  let total = 0;
+  let pax = {};
+  let longName;
+  const str = (data) => data.toString("utf8").replace(/\0.*(?![\s\S])/s, "");
+  while (offset + 512 <= bytes.length) {
+    const header = bytes.subarray(offset, offset + 512);
+    offset += 512;
+    if (header.every((byte) => byte === 0)) break;
+    const sizeText = str(header.subarray(124, 136)).trim();
+    ensure(/^[0-7]+(?![\s\S])/.test(sizeText), "Invalid tar entry size");
+    const size = parseInt(sizeText, 8);
+    const expected = parseInt(str(header.subarray(148, 156)).trim(), 8);
+    const sum = header.reduce(
+      (sum, b, i) => sum + (i >= 148 && i < 156 ? 32 : b),
+      0,
+    );
+    ensure(
+      expected === sum && size <= maxFile && offset + size <= bytes.length,
+      "Invalid or oversized tar entry",
+    );
+    const data = bytes.subarray(offset, offset + size);
+    offset += Math.ceil(size / 512) * 512;
+    const type = String.fromCharCode(header[156] || 48);
+    if (type === "x") {
+      pax = {};
+      let pos = 0;
+      while (pos < data.length) {
+        const space = data.indexOf(32, pos);
+        ensure(space > pos, "Invalid PAX record");
+        const len = Number(data.subarray(pos, space).toString());
+        ensure(
+          Number.isInteger(len) &&
+            len > space - pos + 1 &&
+            pos + len <= data.length &&
+            data[pos + len - 1] === 10,
+          "Invalid PAX length",
+        );
+        const row = data.subarray(space + 1, pos + len - 1).toString();
+        const split = row.indexOf("=");
+        ensure(split > 0, "Invalid PAX value");
+        pax[row.slice(0, split)] = row.slice(split + 1);
+        pos += len;
+      }
+      continue;
+    }
+    if (type === "L") {
+      longName = str(data).replace(/\n(?![\s\S])/, "");
+      continue;
+    }
+    const prefix =
+      str(header.subarray(257, 263)) === "ustar"
+        ? str(header.subarray(345, 500))
+        : "";
+    const name =
+      pax.path ||
+      longName ||
+      (prefix ? prefix + "/" : "") + str(header.subarray(0, 100));
+    ensure(
+      pax.size === undefined || Number(pax.size) === size,
+      "Unsupported PAX size",
+    );
+    pax = {};
+    longName = undefined;
+    ensure(
+      type === "0" || type === "5",
+      "Links and special archive entries are forbidden",
+    );
+    total += size;
+    ensure(
+      total <= maxUnpacked && entries.length < maxEntries,
+      "Archive expansion limit exceeded",
+    );
+    entries.push({
+      name: name.replace(/\/(?![\s\S])/, ""),
+      directory: type === "5",
+      data,
+    });
+  }
+  return entries;
+}
+module.exports = {
+  fs,
+  path,
+  SEMVER,
+  DIGEST,
+  HEX64,
+  COMMIT,
+  ensure,
+  sha,
+  stable,
+  sorted,
+  json,
+  read,
+  save,
+  temp,
+  remove,
+  temporary,
+  safePath,
+  repositoryPath,
+  exec,
+  sleep,
+  request,
+  tarEntries,
+  equal: isDeepStrictEqual,
+};

package/src/cli/commands.js

@@ -4,9 +4,12 @@ const hotfix = require('../hotfix');
 const changelog = require('../changelog');
 const chart = require('../chart');
 const token = require('../token');
+const nextjs = require('../nextjs');
+const sbom = require('../sbom');
+const security = require('../security');
 const { upgrade } = require('./update-check');
 const { version: pkgVersion } = require('../../package.json');
-const { runAction } = require('./run-action');
+const { runAction, runAutomationAction } = require('./run-action');
 
 function registerCommands(program) {
 program
@@ -21,6 +24,81 @@ program
   .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
   .action((command) => runAction(upgrade, command));
 
+// Команды Next.js
+const nextjsCmd = program
+  .command("nextjs")
+  .description("Обработка Next.js build artifacts");
+
+nextjsCmd
+  .command("licenses")
+  .description("Сохранить LICENSE встроенных пакетов в standalone")
+  .allowExcessArguments(false)
+  .option("-d, --dry", "Запустить только предпроверки")
+  .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
+  .action((command) => runAutomationAction(nextjs.licenses, command));
+
+// Команды SBOM
+const sbomCmd = program
+  .command("sbom")
+  .description("Работа с SBOM");
+
+const catalogCmd = sbomCmd
+  .command("catalog")
+  .description("Каталоги встроенных зависимостей Next.js");
+
+catalogCmd
+  .command("resolve")
+  .description("Найти проверенные OCI-каталоги для образа приложения")
+  .allowExcessArguments(false)
+  .option("-d, --dry", "Запустить только предпроверки")
+  .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
+  .action((command) => runAutomationAction(sbom.resolve, command));
+
+catalogCmd
+  .command("populate")
+  .description("Построить и опубликовать каталог из официальных исходников")
+  .allowExcessArguments(false)
+  .option("-d, --dry", "Запустить только предпроверки")
+  .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
+  .action((command) => runAutomationAction(sbom.populate, command));
+
+// Команды security
+const securityCmd = program
+  .command("security")
+  .description("Ночная проверка и исправление HIGH/CRITICAL");
+
+securityCmd
+  .command("scan")
+  .description("Проверить production npm-зависимости и runtime-образ")
+  .allowExcessArguments(false)
+  .option("-d, --dry", "Запустить только предпроверки")
+  .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
+  .action((command) => runAutomationAction(security.scan, command));
+
+securityCmd
+  .command("track")
+  .description("Создать или найти YouTrack-задачи в центральном pipeline")
+  .allowExcessArguments(false)
+  .option("-d, --dry", "Запустить только предпроверки")
+  .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
+  .action((command) => runAutomationAction(security.track, command));
+
+securityCmd
+  .command("reconcile")
+  .description("Дождаться центрального tracker и получить номера задач")
+  .allowExcessArguments(false)
+  .option("-d, --dry", "Запустить только предпроверки")
+  .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
+  .action((command) => runAutomationAction(security.reconcile, command));
+
+securityCmd
+  .command("repair")
+  .description("Исправить, проверить и создать отдельный MR на проектную задачу")
+  .allowExcessArguments(false)
+  .option("-d, --dry", "Запустить только предпроверки")
+  .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
+  .action((command) => runAutomationAction(security.repair, command));
+
 // Команды релиза
 const releaseCmd = program
   .command("release")

package/src/cli/run-action.js

@@ -1,5 +1,5 @@
 const { checkForUpdates } = require('./update-check');
-const { withCommandOptions } = require('./command-executor');
+const { withCommandOptions, reportDryRun } = require('./command-executor');
 
 function commandOptions(command) {
   return command && typeof command.opts === "function" ? command.opts() : command || {};
@@ -25,4 +25,20 @@ async function runAction(action, command) {
   }
 }
 
-module.exports = { runAction };
+// Automation handlers return numeric exit codes, including 0 (success)
+// and 2 (partial result). They run without the interactive update check.
+async function runAutomationAction(action, command) {
+  const options = commandOptions(command);
+  try {
+    process.exitCode = await withCommandOptions(options, async () => {
+      const code = await action(options);
+      if (options.dry && code === 0) reportDryRun();
+      return code;
+    });
+  } catch (error) {
+    console.error('ERROR: ' + error.message);
+    process.exitCode = 1;
+  }
+}
+
+module.exports = { runAction, runAutomationAction };