# Changelog ## [1.118.11] - 2026-08-30 ### Fixed - `KNOWN_PLUGIN_RANGES` наздогнав версії плагінів воркспейсу: `lang-js` `^0.27`→`^0.34`, `lang-python` `^0.14`→`^0.15`, `lang-rust` `^0.17`→`^0.18`, `lang-php` `^0.4`→`^0.5`. Наслідок дрейфу ширший за червоний гейт `known-plugin-ranges`: `ensurePluginInstalled` обмежує установку first-party плагіна саме цим range, тобто ставив би версію, старішу за ту, що вже лежить у воркспейсі. Гейт лишається крихким за конструкцією — для `0.x` кожен minor-бамп плагіна ламає його знову, бо range треба піднімати вручну тим самим коммітом. Автоматизація не додається свідомо: `KNOWN_PLUGIN_RANGES` зникає разом із переходом на резолв за lock + OCI reference (робота Д1, `docs/plans/2026-08-29-js-rust-migration-completion-plan.md`). ## [1.118.10] - 2026-08-30 ### Changed - Записано форму, якою лікується half-apply у фіксерах, що пишуть у чужі файли репозиторію. Привід — T0-фікс `bun/package_json` (єдиний виконавець свого фіксу назавжди, §2.92): він переписував чужі workflow, і лише потім зʼясовував, чи дія, заради якої переписував, узагалі відбудеться. Узагальнення просте: якщо фікс залишає репозиторій у неузгодженому стані, майже завжди причина в тому, що рішення ухвалюється ПІСЛЯ першого запису. Лікується це не додатковим прапорцем і не rollback-ом, а перенесенням усього рішення у read-only фазу — «порахувати повний план → застосувати цілком або нічого», рівно та форма, що вже діє в native-фіксів ядра (`crates/rules-core/src/concerns/fix.rs`), які віддають план хосту. Гучна відмова (`error`, не `warn`) при цьому не заміна атомарності, а доповнення до неї: коли частина плану свідомо не виконується, консюмер має про це почути. Другий, дрібніший урок із того самого місця: верифікаційний прохід, який перечитує з диска щойно написані тобою ж файли, інформації не додає, якщо детектор і мутатор ділять ту саму функцію пошуку. Він лише маскує те, що справжнє джерело блокування — інший клас файлів. Деталі — §2.94 `docs/plans/2026-08-05-open-questions-register.md`. ## [1.118.9] - 2026-08-30 ### Changed - Зріз 6 дистрибуції переспроєктовано: npm-канал знімається **повністю**, а не перетворюється на launcher над нативним бінарем. Попереднє формулювання (`docs/specs/2026-08-01-rules-cli-phase8-skeleton.md`, розділ 5 п.6) припускало esbuild/biome-патерн — npm лишається, `bin` стає launcher-ом, платформні пакети розширюються з cdylib на повний бінар. Рішення власника: єдине джерело дистрибуції — GitHub Releases; CI-образи вже несуть встановлену версію; brew і аналоги на інших платформах — обгортки над Releases, не окремі канали. Це не заміна транспорту: npm у цьому проєкті **і є системою плагінів** — шість first-party плагінів існують як npm-пакети, а `resolve-plugins.mjs` знаходить їх за конвенцією імені в залежностях консюмера. Тому зняття форсує три незалежні заміни: канал бінаря, формат і резолв плагінів, доля вбудованого набору `rules/**`. Плагіни стають окремими артефактами, якими керує сам CLI (кеш, не `node_modules`) — свідомо проти вшивання в бінар (версія плагіна намертво = версія CLI, сторонній плагін неможливий) і проти гібрида (дві стежки резолву). Найгостріший практичний наслідок: канонічний рядок виклику, який фіксери зашивають у ЧУЖІ файли консюмера, перестає бути `bunx n-rules lint ` і стає `n-rules lint `. Перейти ДО зрізу 6 не можна, забути ПІСЛЯ — означає лишити консюмерів із викликом неіснуючого каналу. Тобто зріз 6 несе ще й міграцію вже переписаних файлів. Розгорнуто — розділ 12 спеки (канали, десять відкритих питань, що доведеться спроєктувати замість того, що npm давав задарма, і що натомість спрощується) і §2.96 реєстру відкритих питань. ## [1.118.8] - 2026-08-30 ### Changed - chore(release): синк пінів платформних napi-пакетів @7n/rules ## [1.118.7] - 2026-08-30 ### Changed - Зняття JS-канонів фіксу — партія `plugins/lang-js`, остання й найбільша (девʼятнадцять із двадцяти трьох). Разом із каноном `fix-.mjs` зникає не тест, а ПОВЕРХНЯ: `loadT0Patterns` резолвить фіксери у порядку native → wasm (`guestFix`) → `fix-.mjs`, і третій шар був глушником випадку «гість не резолвиться». Гейт — табличний, у `wasm-plugin-parity.test.mjs` (`§2.93`), і перевіряє не відсутність файлів, а СКЛАД резолву тим самим `loadT0Patterns`, яким ходить прод: рівно один патерн на концерн, і той `guestFix`. Два патерни означали б повернення канону (подвійний фікс), нуль — зникнення гостя, тобто `--fix`, що МОВЧКИ перестав фіксити концерн. Тверджень тут ТРИ, а не два, як у `ci-github` (§2.90). Там таблиця звірялась із живим маніфестом у бік «кожен концерн маніфеста або в таблиці, або у свідомому виключенні» — це працювало, бо всі вісімнадцять концернів гостя мали фікс. У `lang-js` фікс має меншість із пʼятдесяти, тож той самий бік звірки дав би тридцять «виключень», тобто шум замість гейта. Живих джерел натомість два, кожне зі свого боку: (2) кожен ключ таблиці мусить бути в живому маніфесті (`concerns` ∪ `fix_only_concerns`) — перейменований чи знятий у гості ключ валить гейт; (3) набір уцілілих `fix-*.mjs` плагіна мусить дорівнювати рівно чотирьом іменованим виняткам — новий канон для портованого концерну валить гейт навіть якщо його ключа в таблиці немає. Гейт доведено живим ДО видалення (дешевший порядок §2.90): із наявними канонами перше твердження червоне по всіх девʼятнадцяти ключах, третє — по всіх двадцяти трьох файлах. Fix-parity-секції `js/check`, `js/doc_comments`, `bun/licensee` і `js-run/runtime` не видалено, а ПЕРЕПИСАНО з «гість = канон» на «гість = очікуваний результат» (крок 4 зразка §2.88): очікуване тепер або літерал, або читається з того самого файлу-джерела, який гість вшиває `include_str!`-ом. Тестів у `wasm-plugin-parity.test.mjs` — 317 замість 314. Зразок партії — §2.88, звіт — §2.93 `docs/plans/2026-08-05-open-questions-register.md`. ### Fixed - Полагоджено дві межі wasm-мосту, які раніше були лише задокументовані (§2.92) — обидві з класу «гість мовчки дістає не те, що мав». **Корінь `capabilities.fs-read`.** Read-only preopen для оголошених плагіном шляхів резолвився від робочої директорії ХОСТ-ПРОЦЕСУ, тоді як виклики концернів беруть корінь дерева окремим параметром: для прогону з явно заданим коренем (`lint --path <інше-дерево>`) плагін читав би не те дерево, яке лінтується — без жодної помилки, бо імена файлів у чужому дереві ті самі. Тепер preopens резолвляться від кореня ВИКЛИКУ; завантаження без кореня не падає назад на директорію процесу, а плагін із оголошеним `fs-read`, узятий таким шляхом, відмовляється виконувати `detect`/`fix` з типізованою помилкою (маніфест при цьому читається як і раніше). Спостережуваних наслідків не було — жоден чинний маніфест `fs-read` не оголошує; знято з латентного стану до появи першого споживача. Гейт — гість, який `fs-read` реально оголошує й реально читає диск, із коренем виклику, навмисно відмінним від директорії процесу. **Порожній fix-батч через відсутні таргети діагностик.** Коли всі файли, названі діагностиками концерну, на диску відсутні (клас «канонічного файлу БРАКУЄ» — файл і має бути створений фіксом), хост пропускав їх усі й передавав гостю ПОРОЖНІЙ набір файлів при непорожніх діагностиках: фіксер мусив писати наосліп, а прогін звітував «чисто». Перевірка тепер дивиться на фактичний набір, а не на список шляхів до читання: батч відновлюється за оголошеним fix-скоупом контрибуції, потім за дельтою запиту, і лише коли нема ані того, ані іншого — виклик падає з поясненням замість тихого порожнього плану. Деталі — §2.95 `docs/plans/2026-08-05-open-questions-register.md`. ## [1.118.6] - 2026-08-29 ### Changed - Задокументовано дві межі wasm-мосту, які досі жили лише як припущення — обидві виявлені під час розвідки останнього непортованого концерну `lang-js`. **Ціна `fix-glob`.** Непорожній `fix-glob` контрибуції вмикає full-scope fix-батч, і цей скоуп читається ТРИЧІ за один fix-виклик: сам батч, знімок до виклику гостя і знімок після (останні два — основа host-diff для фіксерів, що мутують диск напряму). Замір на цьому репозиторії: скоуп `**/*` після gitignore-обходу — 3389 файлів і 124,09 MiB, тобто ~91 MiB IO і ~30 MiB копії у лінійну памʼять гостя на кожен фікс одного файлу, при корисному скоупі 985 KiB. Висновок, який варто мати перед очима при кожній новій контрибуції: `fix-glob` — інструмент РОЗРИВУ скоупів (фіксу треба ширше, ніж детекту), а не канал «прочитай мені все репо». **Корінь `capabilities.fs-read`.** Read-only preopen для оголошених плагіном шляхів резолвиться від робочої директорії ХОСТ-ПРОЦЕСУ, тоді як самі виклики концернів беруть корінь репозиторію окремим параметром. Для прогону з явно заданим коренем (`lint --path <інше-дерево>`) плагін читав би не те дерево, яке лінтується. Спостережуваних наслідків немає — жоден чинний маніфест `fs-read` не оголошує; знято з латентного стану до того, як зʼявиться перший споживач. Деталі — §2.92 `docs/plans/2026-08-05-open-questions-register.md`. ## [1.118.5] - 2026-08-29 ### Changed - Зняття JS-канонів фіксу — `plugins/lang-rust` (4 канони) і `plugins/lang-python` (3): третій і четвертий із шести плагінів, борг «спершу парність» у них закрито повністю. Лишаються три партії — ЯДРО, `lang-js`, `ci-github`. Заміна поверхні — та сама, що в пілоті §2.88: разом із каноном зникає не тест, а третій шар `loadT0Patterns` (native → wasm (`guestFix`) → `fix-.mjs`), який глушив випадок «гість не резолвиться». Але форма гейта УТОЧНЕНА: пілот мав один концерн, тут їх чотири й три, тож гейт став ТАБЛИЧНИМ — один тест на плагін, що проганяє той самий `loadT0Patterns`, яким ходить прод, по ВСІХ ключах `Guest::fix` і звіряє одну таблицю «рівно один патерн, і той `guestFix`». Розходження видно з одного місця, а падіння називає САМЕ той концерн, що поїхав, і напрямок: нуль патернів — зник гість (`--fix` мовчки перестав фіксити), два — повернувся канон (подвійний фікс). Обидва гейти доведено живими: з тимчасово поверненим каноном червоні. Крок «переписати характеризацію, а не видалити» тут уперше не був формальністю: чотири твердження трималися за канони. Три parity-сценарії вже мали двійників у формі «гість = очікуваний результат», четвертий (`cargo_mutants_config`, glob-workspaces `packages/*`, §2.28) двійника не мав і ПЕРЕНЕСЕНИЙ у fix-міст-форму. Тестів: `wasm-plugin-parity-rust.test.mjs` 71 → 70, `wasm-plugin-parity-python.test.mjs` 65 → 65, обидва прогони `cargo test` без змін (90 і 80). Разом зникло 19 JS-тестів характеризації самих канонів — кожен із адресою в гостя, поіменний облік у §2.91. Побічно: `knip.json` мав два мертві глоби (`rules/*/*/fix-*.mjs` в обох воркспейсах і, лише в `plugins/lang-python`, `rules/**/*.test.mjs` — після зняття цей плагін не має в `rules/` жодного тесту). Деталі — §2.91 `docs/plans/2026-08-05-open-questions-register.md`. ## [1.118.4] - 2026-08-29 ### Changed - Зняття JS-канонів фіксу — партія ЯДРА: усі 20 `npm/rules/**/fix-.mjs`, чий ключ уже в `NATIVE_FIXES`, видалено разом із їхніми `docs/`. Native — єдина реалізація фіксу цих концернів; `--fix` більше не має JS-fallback-у, який мовчки підмінив би native при незавантаженому аддоні. `npm/rules/tauri/release/fix-release.mjs` НЕ знято й зніматись не має: його ключа немає в `NATIVE_FIXES` (format-preserving YAML свідомо не портований), тож він і далі єдиний виконавець свого фіксу. Замість двадцяти поодиноких гейтів — ОДИН табличний (`npm/scripts/lib/lint-surface/tests/native-fix-single-source.test.mjs`, `test.each` по всьому реєстру): для кожного ключа `loadT0Patterns` (той самий резолвер, яким ходить прод) має віддати рівно один патерн, і той `native-fix:`, а `fix-.mjs` не має існувати на диску. Друга половина потрібна саме в ядрі: для native-ключа `loadT0Patterns` повертається рано, тож повернутий канон складу резолву не змінює — він просто стає мертвим дублікатом. Гейт доведено живим окремо по кожній половині. Тестів на тому самому наборі файлів стало 266 замість 188. 16 тестів у шести файлах зникли разом із каноном — кожен має названу native-заміну (§2.89); чотири файли не видалено, а переписано на `loadT0Patterns`, тож 53 тести `image-avif`/`tauri-updater`/`text-cspell`/`worktree-vscode_settings` тепер ганяють реальний виконавець `--fix`. Деталі, порядкова звірка канон↔native і дві пастки переписування — §2.89 `docs/plans/2026-08-05-open-questions-register.md`. - Зняття JS-канонів фіксу — партія `plugins/ci-github` (сімнадцять канонів; борг «спершу парність» у цьому плагіні закрито повністю). Разом із каноном `fix-.mjs` зникає не тест, а ПОВЕРХНЯ: `loadT0Patterns` резолвить фіксери у порядку native → wasm (`guestFix`) → `fix-.mjs`, і третій шар був глушником випадку «гість не резолвиться». Тому характеризацію переведено не на `existsSync` видалених файлів, а на СКЛАД резолву тим самим `loadT0Patterns`, яким ходить прод — ОДИН табличний гейт по всіх сімнадцяти ключах (`wasm-plugin-parity-ci-github.test.mjs`, `§2.90`): рівно один патерн на концерн, і той `guestFix`. Два патерни означали б повернення канону (подвійний фікс), нуль — зникнення гостя, тобто `--fix`, що МОВЧКИ перестав фіксити концерн. Друге твердження гейта звіряє саму таблицю з живим маніфестом гостя, тож концерн, доданий у гість і не внесений у таблицю, валить гейт, а не лишається тихо неперевіреним. Гейт доведено живим: із наявними канонами він червоний по всіх сімнадцяти ключах. Тестів у `wasm-plugin-parity-ci-github.test.mjs` — 51 замість 49. Ідемпотентність template-merge на канонічному вмісті, яку несли зняті JS-тести, відновлена в новій формі — додатковим твердженням «повторний fix на канонічному вмісті → порожній план» у гостьовому T0-циклі кожного з дванадцяти template-концернів. Зразок партії — §2.88, звіт — §2.90 `docs/plans/2026-08-05-open-questions-register.md`. ## [1.118.3] - 2026-08-29 ### Changed - Зняття JS-канонів фіксу — пілот на `plugins/lang-php` (перший із шести плагінів; лишається 62 канони). Разом із каноном `fix-.mjs` зникає не тест, а ПОВЕРХНЯ: `loadT0Patterns` резолвить фіксери у порядку native → wasm (`guestFix`) → `fix-.mjs`, і третій шар був глушником випадку «гість не резолвиться». Тому характеризацію переведено не на `existsSync` видаленого файлу, а на СКЛАД резолву тим самим `loadT0Patterns`, яким ходить прод: рівно один патерн, і той `guestFix`. Два патерни означали б повернення канону (подвійний фікс), нуль — зникнення гостя, тобто `--fix`, що МОВЧКИ перестав фіксити концерн. Гейт доведено живим: із тимчасово поверненим каноном він червоний. Тестів у `wasm-plugin-parity-php.test.mjs` стало 37 замість 36 — жодного зниклого. Покроковий зразок для решти пʼятьох партій — §2.88 `docs/plans/2026-08-05-open-questions-register.md`. ### Fixed - Заявлений `fix-glob` контрибуції (поле мажора контракту `4.0.0`) на host-боці майже не діяв: `run_wasm_concern_fix` читав його ЛИШЕ у гілці, де ЖОДНА діагностика не назвала файл. Для звичайного концерну, чиї діагностики несуть `file`, fix-батч і далі будувався з самих цих шляхів, а оголошений ширший fix-скоуп мовчки ігнорувався — рівно та вада, від якої поле й мало рятувати: вузький скоуп → порожній план → гейт `edits.length > 0` не пускає гість-пріоритет → JS-канон тихо робить фікс удруге. Гірший підклас тієї самої гілки — концерн класу «канонічного файлу БРАКУЄ». Усі його діагностики несуть `file`, але жоден із цих шляхів на диску не існує, тож читання батчу пропускає їх усі, і гість отримує ПОРОЖНІЙ список файлів при непорожніх діагностиках. Це та сама двозначність, яку мала закривати типізована помилка «неоднозначний порожній fix-batch»: гейт дивиться на список шляхів ДО читання з диска, а не на фактичний батч, тож фіксер писав би наосліп, не відрізняючи «файлу немає» від «хост його не передав». Полагоджено: НЕПОРОЖНІЙ `fix-glob` тепер вмикає full-scope fix-батч завжди, з union-ом названих діагностиками файлів, яких глоб не покрив. Opt-in, а не автоматика для всіх `scope: full`: обхід усього репо на кожен fix-виклик коштує, і платять його лише ті концерни, що самі це заявили. Для жодної чинної контрибуції поведінка не змінилась — до цієї зміни непорожнього `fix-glob` не оголошував ніхто. Заразом полагоджено `rules-template-merge`: `jsonc-parser` підключався без фічі `preserve_order`, тож ключі розібраного JSON/JSONC лежали у ХЕШ-порядку `HashMap`, засіяному наново кожен процес. Будь-яка повна регенерація JSON-таргета (`jsconfig.json`, `package.json` у fallback-шляху template-мержу) переписувала файл консюмера з ключами у ВИПАДКОВОМУ порядку, і два прогони того самого фіксу давали різні файли. Хірургічний (comment-preserving) шлях на це не спирався й не змінюється. Деталі — §2.87 `docs/plans/2026-08-05-open-questions-register.md`. - `FileEdit::WriteBytes` тепер доїжджає до петлі `fix` — міст `crates/rules-fix/src/t0.rs` перекладає його прямо в `FileEditPlan::WriteBytes` (`n7n-llm-lib 0.5.0`), а не збирає на гучну відмову. До цього релізу байтовий edit не виражався планом узагалі: `EditPlan` був ТЕКСТОВИЙ наскрізь (`Create::content` — `String`, `Anchored` рахує рядкові якорі, pre-image журналу — текст). Справжньою стіною був навіть не тип `content`, а `WriteGuard::capture_pre_image`: він знімав знімок `read_to_string`-ом, на бінарному файлі падав `Err`, і `check_write` перетворював це на `Decision::Block` — тобто будь-який запис у бінарний файл через guard був неможливий. Наслідок для користувача: `image-compress/check` і `image-avif/avif_generation` (§2.85) працюють і в ладдер-контурі, не лише в основному диспатчі T0. Заодно: - `PreImage::ExistingBytes` (новий варіант llm-lib) перекладається БАЙТ-У-БАЙТ, без lossy-конверсії — саме вона на detect-боці перетворювала 12 байтів PNG-сигнатури на 18 байтів мозаїки (§2.83); - прибрано машинерію збору «невиразних» edit-ів: усі три операції контракту мають прямий відповідник, а `FileEdit` не `#[non_exhaustive]`, тож четверта стане помилкою компіляції, а не тихим пропуском. Залежності підняті узгоджено в пʼятьох крейтах (`n7n-llm-lib` 0.4 → 0.5, `n7n-harness` 0.2 → 0.3): часткове підняття давало дві копії крейта в графі й «expected `llm_lib::journal::Journal`, found `Journal`». ## [1.118.2] - 2026-08-29 ### Changed - chore(release): синк пінів платформних napi-пакетів @7n/rules ## [1.118.1] - 2026-08-29 ### Fixed - Поверхня `fix-only-concerns` (мажор контракту `4.0.0`) не працювала на host-боці: `run_wasm_concern_fix` шукав контрибуцію концерну ЛИШЕ у `describe().concerns`, тому для ключа з другого списку вона не знаходилась. Наслідків було два, обидва тихі. По-перше, `diff_glob` ставав `None` — host-diff вимикався, тож фіксер класу exec-tool мутував диск, а план виходив ПОРОЖНІЙ: гейт `edits.length > 0` його не пускав, і JS-канон робив той самий фікс удруге. По-друге, у `lint --full` (без дельти) виклик падав `ambiguous_empty_fix_batch_err` із текстом «не заявлений у `describe().concerns`», хоч концерн був заявлений — просто в іншому списку. Полагоджено ЄДИНИМ акцесором `Manifest::fix_contribution(key)`, який дивиться в обидва списки, — рівно з того самого мотиву, що `ConcernContribution::effective_fix_glob`: «забув подивитись у другий список» у новому місці виклику має бути неможливо написати. Взаємну виключність ключа гарантує валідатор маніфеста на завантаженні плагіна, тож порядок перегляду списків ні на що не впливає. Дефект знайшов перший реальний споживач поверхні — порт T0-фікса `js/eslint` у гостя `@7n/rules-lang-js`. Тестом на фейковому маніфесті він не ловився: мажор віддав форму (WIT, JS-резолвер, валідатор), але не всі місця, де host читає контрибуцію. Деталі — §2.86 `docs/plans/2026-08-05-open-questions-register.md`. ## [1.118.0] - 2026-08-29 ### Changed - Бінарна родина `image-*` портована нативно — обидва концерни, які мажор `n-rules:plugin@4.0.0` розблокував, але не мав споживачами: `image-compress/check` і `image-avif/avif_generation`. Ключі додані в `NATIVE_FIXES`, тож `loadT0Patterns` тепер віддає для них рівно native-патерн; JS-канони лишаються на місці (політика «спершу парність»), але затінені. **Байти пішли туди, де вони справді байти — і тільки туди.** `image-compress/check` бінарний наскрізь: єдина його дія — нові байти jpg/png/gif/webp/svg, і весь його план — `write-bytes`. `image-avif/avif_generation` **змішаний**, тож його план лишився текстовим на дві третини: згенеровані `.avif`-двійники їдуть `write-bytes`, rewrite raster-посилань у `.vue`/`.html` — звичайним текстовим `write`, прибирання `.avif`-сиріт — `delete`. Порядок значущий: байтові записи перші, видалення останні. **Мовчазна вада спільного exec-tool хвоста — полагоджена.** Знімок «до» (`snapshot_before`) знімався `read_to_string`, тож не-UTF-8 файл давав `None` і до, і після прогону зовнішнього тула — а `None == None` означало «файл не змінився». Тобто тул, який реально переписав бінарний файл, не давав жодного edit-у, і конвеєр звітував «0 файлів» при змінених байтах на диску. Це нативний родич вади, яку §2.83 закрила на detect-боці (`String::from_utf8_lossy` калічив не-UTF-8 джерела), лише тихіший: там байти псувались, тут зникали безслідно. Знімок став байтовим, а форму edit-а тепер обирає сам вміст «після». Побічно з цього вийшла дедуплікація — `text/oxfmt` і `text/markdownlint` носили власні копії тих самих двох циклів, тепер усі шість exec-tool фіксів стоять на одному хвості. **Чотири полагоджені дефекти канону, усі одного класу** — «варн у stdout і `{ touchedFiles: [] }`», що для рушія `--fix` нерозрізнюване від «усе вже гаразд»: відсутній `bunx` (image-compress), ненульовий код `--write`, відсутній `npx` (image-avif), ненульовий код `--avif` (там `console.log` навіть без `return` — фікс продовжував так, ніби генерація вдалася). Кожен тепер гучна помилка з install-підказкою або з кодом і stderr тула. **П'ятий, змістовний: згенеровані `.avif` були невидимі.** Канон не клав у `touchedFiles` жодного згенерованого двійника — вони просто з'являлися на диску як side-effect спавна. Звіт казав «rewrote 3 file(s)», поки додалось ще п'ятнадцять бінарних файлів, яких не бачив ані журнал, ані collateral-veto, ані `git`-огляд. Тепер вони в плані. Ще заблокованим лишається другий споживач планів — місток T0 петлі `fix` (`crates/rules-fix`): `llm_lib::edit_plan::EditPlan` текстовий наскрізь, тож `write-bytes` там і далі дає гучну типізовану відмову. Байтовий `FileEditPlan` написаний (гілка `feat/byte-file-edit-plan` у `git.7n.ai/7n/llm-lib`), але живе в окремому репозиторії і споживається тут лише після публікації нової версії крейта `n7n-llm-lib` — тобто після пушу тега, не мерджу. Деталі — §2.85 `docs/plans/2026-08-05-open-questions-register.md`. ## [1.117.1] - 2026-08-29 ### Changed - chore(release): синк пінів платформних napi-пакетів @7n/rules ## [1.117.0] - 2026-08-29 ### Changed - Контракт wasm-плагінів бампнуто до `n-rules:plugin@4.0.0`. Це **перший мажор** цього контракту, і він ламає всіх пінованих гостей одномоментно: `check_world_version` звіряє major, тож плагін, зібраний під будь-яку `3.x`, цим хостом більше не завантажується. Усі шість first-party гостей, фікстура contract-test-kit і шаблон скіла `wasm-plugin` переведені тим самим комітом — проміжного стану «хост уже `4.0.0`, гість ще `3.2.0`» не існує. Причина мажора виміряна, а не виведена (§2.83): Component Model не має width-subtyping, і кожна зміна ФОРМИ типу межі гість↔хост ламає інстанціацію вже пінованого гостя ще до `check_world_version` — `expected variant of 3 cases, found 2 cases` для нового case-а, `expected record of N fields, found N-1 fields` для нового поля; `option<...>` не рятує, бо звіряється арність запису. Оскільки мажор платиться один раз, він несе всі три накопичені зміни разом. **`write-bytes` — бінарний вміст у fix-плані.** Новий case `variant file-edit`: `write-bytes-file { path, content: list }`. Доти `FixPlan` умів лише текст (`content` — WIT `string`), тож фіксер стиснутого зображення не мав чого туди покласти. У WIT байти їдуть `list` (одна копія в канонічному ABI), base64 з'являється рівно на межі napi→JS, де `Vec` виродився б у масив чисел. Побитий base64 у плані — гучна помилка, а не тихий запис обрізаного файлу. **`fix-only-concerns` — концерн ЛИШЕ для фіксу.** Нове поле `manifest`: окремий список контрибуцій, для яких плагін дає `fix`, а детект лишається за чинним `main.mjs`/policy. Доти способу «лише fix» не існувало: будь-який ключ у `concerns` вмикає detect-шедоуїнг, тобто оголосити концерн заради фіксу означало **мовчки вимкнути його детект**. Ключ у обох списках одночасно — контрактна помилка: такий маніфест хост відхиляє на завантаженні, а не вгадує намір. **`fix-glob` — окремий скоуп фіксу.** Нове поле `concern-contribution`. Доти `fix` годувався тим самим глобом, що й детект, тож вузький detect-glob беззвучно каструвався: план порожній, гейт `edits.length > 0` не пускає, і JS-канон тихо робить фікс удруге. Єдиним обхідним шляхом було розширити detect-скоуп заради fix-скоупу — вада, а не рішення. Порожній `fix-glob` означає «fix ділить скоуп із детектом», тож жодна чинна контрибуція поведінки не змінила. Гейт «мінор лишається additive» не полагоджено оновленням фікстури — це викинуло б сам гейт. Він розділений на два: історичний (форма розійшлась із v3.0 рівно у трьох задекларованих типах, і major при цьому бампнуто — четверта тиха зміна валить тест) і новий additive-гейт відносно замороженої бази `4.0.0`. Бінарний стенд теж перевернуто: тепер він доводить, що гість попереднього мажора справді не вантажиться і що відмова пояснює невідповідність типів. Мажор віддає поверхню, не споживачів: порт `image-compress/check`, `image-avif/avif_generation` і `js/eslint` — окремі задачі. Деталі — §2.84 `docs/plans/2026-08-05-open-questions-register.md`. ## [1.116.0] - 2026-08-29 ### Changed - Ще пʼять концернів `lang-js` тепер повністю обслуговує wasm-гість — і детект, і T0-фікс: `style/vscode_settings`, `js-run/jsconfig`, `js/jscpd_config`, `npm-module/emit_types_config` (усі чотири — rego через host-import `rego-engine`, тобто без спавну `conftest`) і `style/tooling` (детект переїхав раніше, тепер і фікс). Родина `vscode_*`/`zed_settings` закрита повністю: `style/vscode_settings` був її останнім незакритим членом. `js/jscpd_config --fix` перестав псувати вже суворіший конфіг. Раніше будь-яке порушення концерну (напр. `gitignore` чи брак `reporters`) запускало deep-merge, який збивав `minLines` назад на мінімальний поріг `25` — навіть якщо там стояло `40`, яке сам детект вважає коректним. Тепер поріг трактується як мінімум: вище значення лишається, нижче — підтягується. Це та сама вада, що вже полагоджена для `@nitra/eslint-config` у `js/package_json`, лише числова. `js-run/jsconfig --fix` тепер працює на `jsconfig.json` із коментарями. VS Code і TypeScript читають цей файл як JSONC, а канон читав його `JSON.parse` і на винятку мовчки нічого не робив: лінт червоний, `--fix` «спрацював», файл без змін. `style/tooling --fix` тепер закриває порушення й тоді, коли `package.json` має `"stylelint"` не-обʼєктом (напр. рядком). Детект такий конфіг за наявний не вважає, а фікс виходив на будь-якому truthy-значенні — концерн не сходився ніколи. Бонусом `package.json` більше не переписується цілком: канонічне поле вставляється хірургічно, форматування й коментарі виживають. `test/stryker_config` свідомо лишається на JS-фіксі: увесь його T0 тримається на повторному прогоні планувальника по всьому дереву, а fix-batch хост будує з файлів, названих діагностиками. Це обмеження host-мосту, не плагіна. Виправлено два анти-дрейф-гейти, які лишались червоними після попередньої хвилі: очікувана кількість контрибуцій `plugin-lang-js` у `crates/rules-plugin-host/tests/plugin_lang_js.rs` і у `wasm-plugins.test.mjs` (40 → 50). Сортування violations у `runSingleFilePolicyBoth` замінено на «файл, потім повідомлення» — для багатофайлових (`walkGlob`) концернів однакового тексту deny-я на різних файлах достатньо, щоб парність збігалася випадково. Parity-покриття: 13 нових тестів у `wasm-plugin-parity.test.mjs` — сім звіряють детект гостя з conftest-каноном біт-у-біт (включно з багатофайловим `walkGlob`), шість ганяють повний T0-цикл через РЕАЛЬНИЙ napi-міст. Деталі — §2.80 `docs/plans/2026-08-05-open-questions-register.md`. ## [1.115.1] - 2026-08-29 ### Fixed - wasm-parity гейт: холодний старт napi-мосту (dlopen аддона плюс перша компіляція wasm-компонента) винесено в beforeAll із власним таймаутом — перший тест більше не падає з Test timed out ## [1.115.0] - 2026-08-29 ### Changed - CI-«поодинокі» (розділ 4 плану міграції) — портовано **detect-половину двох** концернів: `ga/service_deploy_workflow` → `crates/plugin-ci-github`, `azure-pipelines/service_deploy_pipeline` → `crates/plugin-ci-azure`. Обидва до цього спавнили Go-бінарник `conftest`, тепер оцінюються host-імпортом `rego-engine` (один двигун на батч, `eval_rule` у циклі по файлах). Це перші walkGlob-концерни обох гостей і перші `scope: per-file` контрибуції в цих крейтах. **T0-фікси обох концернів свідомо лишились у JS.** Вони кличуть `relevantDomains` (`ci-plan.mjs`) → `loadEnabledLintRules` + обхід піддерева сервісу на диску; гість не має ні реєстру ввімкнених правил (у контракті немає такого host-каналу), ні `fs_read`. Частковий порт був би ГІРШИМ за його відсутність: `guestFix` зупиняє `applyT0` на першому непорожньому плані гостя, тож фікс-заглушка з косметичними правками вимкнула б JS-канон, який створює `plan`-джобу й мігрує легасі-lint. `Guest::fix` цих ключів не реєструє; парність зафіксовано тестом «fix — порожній план» у кожному parity-файлі. `ci_artifact/consume` НЕ портовано — це host-side інтегратор слот-механізму: читає graph плагінів (`resolveSlotGraph`/`getSlotContributions`), валідує чужі `ci.artifact@1` payload-и й вантажить canonical-шаблони з тек інших плагінів. WIT описує producer-бік слоту, не consumer-бік; порт інвертував би шар. Полагоджено дефект хоста: `!`-патерн у глобі контрибуції мовчки не працював — `build_full_scope_files` (`crates/rules-napi`) віддавав його прямо в `globset`, де `!` — звичайний символ шляху, тож виключення не діяло й гість дістав би файли, які канон свідомо відсіює. Тепер `!`-префікс — окремий exclude-набір (латентний дефект: до цієї задачі жодна контрибуція `!` не декларувала). Побитий YAML у walkGlob-наборі дає видиму `policy-input-invalid`, а не мовчазний пропуск. Заведено гейт, якого в цих крейтах не було: `vsi_vshyti_rego_polityky_evaliuiutsia_pid_regorus` реально ганяє regorus по КОЖНІЙ вшитій `.rego`-політиці (у `ci-github` — усі 15; попередній гейт брав пʼять) на її ВЛАСНОМУ каноні й вимагає нуль `deny`. Він вивів на окремий, ще не полагоджений дефект `ga/lint_ga` (файл без джоби `lint-ga` дає `rego-engine-error` замість канонічної deny) — деталі й підстави відкладення в §2.81. Деталі — §2.81 `docs/plans/2026-08-05-open-questions-register.md`. JS-канони не видалено (політика «спершу парність»). Розміри гостей: `plugin_ci_github.wasm` 1 624 940 → 1 644 634 Б; `plugin_ci_azure.wasm` 248 759 → 268 093 Б (стеля 10 MiB). - Exec-tool пара `text/run-dotenv-linter` і `text/run-shellcheck` портована в ядро (`crates/rules-core`) — обидва ключі в `NATIVE_FIXES`, диспатч через `listNativeFixes()` → `nativeFixPattern`. JS-канони лишаються на диску (політика «спершу парність»), але `loadT0Patterns` їх більше не імпортує. Разом із портом полагоджено чотири канали, у яких канон обчислював помилку й гасив її в «нічого не змінено». `patterns[0].apply` в обох концернах кличе `runDotenvLinter(cwd, false)` / `runShellcheckText(cwd, false)` БЕЗ присвоєння — обидві функції повертають `1` із чотирьох різних причин, і всі чотири оберталися на `{ touchedFiles: [] }`, нерозрізнюване від справді чистого дерева: - **`dotenv-linter` відсутній у `PATH`** — вічний мовчазний no-op. Детектор при відсутньому тулі дає ту саму violation, що й «знайдено порушення», тож lint червоний → `--fix` «нічого не змінив» → lint знову червоний, і ніде ані слова, що тула просто немає. Тепер — помилка з install-підказкою. - **Ненульовий код `dotenv-linter fix`** не читався взагалі (`try/catch` ловить лише невдалий спавн). Перевірено: `fix` віддає 0 і на нефіксабельних попередженнях, і на синтаксичному смітті у `.env` — ненульовий код означає справжній збій тула. - **`shellcheck` або `patch` відсутні** — той самий мовчазний no-op, включно з окремою гілкою `patch`, яка мала власну install-підказку і власний відкинутий `return 1`. - **Невдалий `patch -p1`** (конфлікт, зіпсований hunk, паралельна зміна файлу) губився так само. Тепер — помилка з іменем файлу і виводом `patch`. Дрібніше: `listEnvFiles` більше не вичитує `node_modules` цілком, щоб потім викинути його фільтром; список `*.sh` для детекта й фікса тепер один (`list_shell_script_paths` у ядрі), а не дві копії; мертвий фінальний прогін `shellcheck` у fix-гілці (його код теж відкидався, edit-ів він не породжує) прибрано — залишковий стан перевіряє re-detect. ## [1.114.1] - 2026-08-29 ### Fixed - Кореневий `vitest.config.mjs` не мав ані env-ізоляції, ані піднятого `testTimeout` — обидва ключі жили ЛИШЕ в пакетному `npm/vitest.config.js`, який вантажиться тільки при `cd npm && vitest run`. Тобто репозиторний прогін (`bun run test` у корені, і CI) не отримував нічого з того, що пакетний конфіг документує як необхідне. Заміряно через `resolveConfig` з `vitest/node`: кореневий давав `testTimeout = 5000` і `env = null`, пакетний — `20000` і обидві змінні. Наслідки, не косметика: - `GIT_TRACE2_EVENT=0` пакетний конфіг називає ROOT-CAUSE фіксом масових `Test timed out` (git-події в `af_unix`-сокет під `pool: 'forks'`) — репозиторний прогін, де git-важких тестів найбільше, його не мав; - без `N_LLM_TRACE_PATH` КОЖЕН кореневий прогін дописував фейкові chain-записи (`probe/check`, `fake/min`, `fake/cloud`) у справжній `~/.n-cursor/llm-trace.jsonl`, засмічуючи аналітику myllm. Це той самий клас вади, що `poolOptions.forks.maxForks` (2026-08-28): налаштування існує на папері й не застосовується там, де потрібне. Контракт `npm/tests/vitest-config-contract.test.mjs`, заведений САМЕ проти цього класу, перевіряв лише `maxWorkers` — і близнюків у тому ж файлі пропустив. Розширено на `testTimeout`, на env-канон і на порівняння спільних ключів обох конфігів ЦІЛИМИ обʼєктами, щоб наступний спільний ключ, доданий в один конфіг, не проскочив так само. Підняття `testTimeout` НЕ замінює розігрів повільних wasm-фікстур: холодний старт wasmtime заміряно у 13-22 с, тобто вже за 20-секундною стелею — такі suite-и гріються у `beforeAll` окремо. ## [1.114.0] - 2026-08-29 ### Changed - Шість концернів `lang-js` — `js/vscode_extensions`, `style/vscode_extensions` і четвірка `package_json` (`js/`, `npm-module/npm_`, `npm-module/root_`, `style/`) — тепер повністю обслуговує wasm-гість: і детект (rego через host-import `rego-engine`, §2.66), і T0-фікс. Для споживача це означає, що ці перевірки більше не спавнять `conftest` як підпроцес. `js/package_json --fix` перестав псувати вже коректний файл. Раніше будь-яке порушення концерну (напр. `"type"` чи `engines.node`) запускало deep-merge, який збивав `devDependencies["@nitra/eslint-config"]` назад на мінімальний поріг `^3.10.0` — навіть якщо там стояла новіша `^3.20.0`, яку сам детект вважає коректною. Тепер поріг трактується як мінімум: вища версія (і `workspace:`-протокол) лишається недоторканою, нижча — підтягується. Гейт `npm/tests/rego-regorus-verbs.test.mjs` доповнено записом `plugin-lang-js` серед консюмерів `rules-rego-engine` і поясненням, що текстовий скан на `%q` — лише один із двох гейтів класу: другий (прогін кожної вшитої політики через двигун) живе в `cargo test -p plugin-lang-js` і саме він знайшов третю пастку `regorus` — безтілий факт `f("літерал")`. Parity-покриття: 16 нових тестів у `wasm-plugin-parity.test.mjs` — вісім звіряють детект гостя з conftest-каноном біт-у-біт, вісім ганяють повний T0-цикл через РЕАЛЬНИЙ napi-міст (`runWasmConcern` → `runWasmConcernFix` → `applyPlanEdit` → повторний детект), включно з гейтом пастки §2.72 «глоб контрибуції годує й fix». Деталі — §2.78 `docs/plans/2026-08-05-open-questions-register.md`. - Гостьова трійка `vscode_extensions` (`php/vscode_extensions`, `python/vscode_extensions`, `rust/vscode_extensions`) портована у свої wasm-гості ЦІЛКОМ — і фікс (`vscode-ext-add`), і детект. Детект переїхав НЕ про запас: `detect.mjs::runConcernDetector` повністю заміняє policy-гілку, щойно концерн зʼявляється в `describe()`, тож порт самого лише фіксу мовчки вимкнув би перевірку. Rego виконується вшитий (`include_str!` того самого `.rego`, що читає conftest) через host-import `rego-engine` — у wasm-граф гостя `regorus` не входить. Три дефекти JS-канону полагоджено, а не відтворені заради парності: (1) JSONC-вхід — `.vscode/extensions.json` із `//`-коментарем канон або валив (conftest, строгий JSON), або мовчки не фіксив (`JSON.parse` у `try/catch`); гість читає JSONC через спільний `rules-template-merge`; (2) справді побитий вміст цілі більше не тихий — видима діагностика `policy-input-invalid`; (3) не-обʼєктний корінь (`[...]`) більше не веде до запису, у якому `recommendations` тихо губиться. Побічно: гейт `%q` (§2.76) розширено трьома плагінами — `regorus` не підтримує Go-верб `%q`, тож у трьох `.rego` він замінений на еквівалентний для рядків `\"%v\"` (текст повідомлення не змінився, `conftest verify` зелений). Деталі — §2.77 `docs/plans/2026-08-05-open-questions-register.md`. JS-канони не видалено (політика «спершу парність»). Тести: `cargo test -p plugin-lang-php` — 34 passed, `-p plugin-lang-python` — 80, `-p plugin-lang-rust` — 90 (по 11 нових на гостя); vitest — 172 passed у трьох parity-файлах (18 нових), `npm/tests/rego-regorus-verbs.test.mjs` — 14 passed; `cargo test -p rules-plugin-host` — 131 passed. - Ядрові «поодинокі» (розділ 4 плану міграції) — портовано нативно два концерни з чотирьох: `tauri/updater` (`fix_tauri_updater.rs` — чотири T0-патерни `fix-updater.mjs`: package.json, Cargo.toml, lib.rs, capabilities) і `text/cspell` (`fix_cspell_config.rs` — merge-запис `.cspell.json` із вшитим `include_str!` каноном template). `tauri/updater` у стіну сусіда `tauri/release` не впирається: ні YAML, ні спавну процесу; детектор уже native, тож read-only хелпери перевикористані, а не задубльовані. `doc-files/check` і `test/coverage` НЕ портовані свідомо — вони не T0-фікси взагалі, а fix-**воркери** LLM-драбини (`fix-worker.mjs`, без `fix-.mjs`). Ключ у `NATIVE_FIXES` створив би фіктивний T0-патерн і ЗАТІНИВ би єдиний робочий шлях. Для `doc-files/check` відсутність детермінованого фіксера — зафіксований інваріант: штамп свіжого CRC поверх старого тексту назавжди замаскував би дрейф доки. Дефекти JS-канону полагоджено, а не відтворено заради парності: (1) `tauri/updater` НІКОЛИ не сходився, коли залежність сиділа в `devDependencies` — детектор читає її як ефективну, а фікс писав канон завжди в `dependencies`, тож порушення поверталось нескінченно; тепер канон пишеться в ту саму секцію; (2) побитий `capabilities/*.json` канон ковтав мовчки (`return false`) — тепер гучна помилка з іменем файлу; (3) JSONC-вхід (`//`-коментарі) в `.cspell.json` і capability-файлах канон читав `JSON.parse` і мовчки не фіксив нічого; (4) не-обʼєктний корінь `.cspell.json` — тепер явний no-op замість тихої втрати даних. Деталі — §2.79 `docs/plans/2026-08-05-open-questions-register.md`. JS-канони не видалено (політика «спершу парність»). Тести: `cargo test -p rules-core --lib concerns::fix` — 131 passed (19 нових); vitest — 11 passed у двох нових `fix-*-native.test.mjs` через продакшн-шлях napi. ## [1.113.0] - 2026-08-29 ### Changed - Родина `createTemplateFixPattern` ядрової колії портована нативно — пʼять концернів (`rego/vscode_settings`, `text/vscode_settings`, `worktree/vscode_settings`, `worktree/zed_settings`, `text/oxfmtrc`) одним конфіг-подібним шаром `TemplateFixCfg` поверх спільного крейта `rules-template-merge` (§2.71). Ядро — перший споживач його jsonc-only конфігурації: жодної YAML-залежності в графі `rules-core`. Три дефекти JS-канону при цьому полагоджено, а не відтворено заради парності: (1) JSONC-вхід (`//`-коментарі, trailing кома у `.vscode/settings.json`) канон читав через `JSON.parse` і МОВЧКИ не фіксив нічого — тепер мерджиться, коментарі виживають через хірургічний splice; (2) не-обʼєктний корінь (`[1,2]`, `"текст"`) канон тихо перезаписував, знищуючи вміст — тепер файл не чіпається, а concern лишається червоним; (3) повна регенерація `JSON.stringify` більше не стирає форматування, коли доступний хірургічний шлях. Деталі — §2.74 `docs/plans/2026-08-05-open-questions-register.md`. JS-канони не видалено (політика «спершу парність»). Тести: `cargo test -p rules-core` — 1292 passed; `cargo test -p rules-template-merge` — 15 (jsonc-only) і 29 (`--features yaml`); vitest — 18 passed у пʼятьох нових `fix-*-native.test.mjs` через продакшн-шлях napi. ## [1.112.0] - 2026-08-29 ### Added - Анти-дрейф-гейт на Go-верб `%q` у rego-політиках, які виконує `regorus` (`npm/tests/rego-regorus-verbs.test.mjs`). `sprintf("%q", …)` легальний під `conftest`, але `regorus` його НЕ підтримує — політика падає HARD RUNTIME ERROR рівно в день, коли концерн переїжджає з субпроцесу на host-import `rego-engine`. Пастку ловили вручну ЧОТИРИ рази (§2.22, §2.66, §2.68, §2.69); гейт замінює ручний grep. Скоуп гейта — ЯВНИЙ перелік `REGORUS_POLICY_PLUGINS` (`ci-github`, `ci-azure`, `lang-js`), а не глобальна заборона: під `conftest` верб цілком легальний, і політики ядра (`npm/rules/**`) та плагінів `lang-php`/`lang-python`/`lang-rust` мають повне право його вживати — глобальний гейт червонив би їх на рівному місці, і його б вимкнули. Три властивості проти хибної впевненості: (1) кожен запис переліку мусить вказувати на існуючу теку з ≥1 `.rego`, інакше одруківка в імені перетворює гейт на «зелений» no-op; (2) будь-який крейт, що оголосив залежність `rules-rego-engine` і не значиться серед відомих консюмерів, валить гейт — наступний плагін (або `rules-core`), який перейде на `regorus`, не проскочить повз перелік мовчки; (3) рядки-коментарі зі скану виключено свідомо — `%q` у ci-github/ci-azure живе саме в доккоментах, що пояснюють цю саму заміну. Тести: `npx vitest run npm/tests/rego-regorus-verbs.test.mjs` — 8 passed; негативний прогін (тимчасово повернутий `%q` в одну політику `lang-js`) валить гейт із точним `файл:рядок`. Деталі — §2.76 `docs/plans/2026-08-05-open-questions-register.md`. ### Changed - Ядрова пʼятірка родини `vscode_extensions` (`doc-files`, `graphql`, `rego`, `tauri`, `text`) портована нативно (`crates/rules-core/src/concerns/fix_vscode_extensions.rs`, §2.75 `docs/plans/2026-08-05-open-questions-register.md`). Усі пʼять стояли на ОДНОМУ JS-рушії (`npm/scripts/lib/fix/vscode-ext-add.mjs`), тож і порт — один рушій плюс пʼять записів конфігурації з вшитим `include_str!` снапшотом свого концерну, а не пʼять реалізацій. JSONC-парс і серіалізацію бере спільний крейт `rules-template-merge` (§2.71, фіча `yaml` ядру не вмикається). JS-канони лишаються на диску за політикою «спершу парність», але `loadT0Patterns` для цих ключів повертає РІВНО native-патерн. Полагоджено три дефекти канону (не відтворені заради парності): - **`//`-коментарі в `.vscode/extensions.json`** — легальний для VS Code JSONC, який `JSON.parse` канону кидав → мовчазний no-op на цілком робочому файлі. Читання тепер через `parse_jsonc_document`; запис лишається повною регенерацією, тож форматування чесно втрачається, а ДАНІ — ні. - **`graphql`/`tauri` не мали канонічного снапшота взагалі** — список розширень жив літералом лише в `.rego`, теки `template/` не існувало, тож фікс цих двох концернів ЗАВЖДИ повертав порожній результат: лінт світив порушення, `--fix` мовчки нічого не робив. Додано `template/extensions.json.snippet.json` обом — полагоджено в джерелі, тож працюють ОБИДВА шляхи (detect не змінюється: їхні `.rego` снапшот не читають). - **Не-обʼєктний корінь цілі** — канон писав `parsed.recommendations` у масив і губив правку при `JSON.stringify`; тепер явний no-op. Тести: `cargo test -p rules-core --lib vscode_extensions` — 13 passed; `cargo test -p rules-template-merge` (jsonc + `--features yaml`) — 15/29 passed; продакшн-шлях через реальний napi-міст — `npm/rules/{text,graphql}/vscode_extensions/tests/fix-vscode_extensions-native.test.mjs`, 10 passed. ## [1.111.0] - 2026-08-29 ### Added - wasm-фікс `rust/check` — ДРУГИЙ порт класу exec-tool fix у гостя (після `python/ruff`, §2.64 host-diff): `plugin-lang-rust` тепер сам виконує `cargo fmt --all` (edits синтезує host-diff зі знімка диска) і генерує `deny.toml` — `cargo deny init` там, де `cargo-deny` є, інакше детермінований мінімальний скаффолд декларативним edit-ом. Glob контрибуції `rust/check` розширено до канонічного (`**/*.rs`, `Cargo.toml`, `Cargo.lock`, `deny.toml`) — без цього host-diff не бачив би жодної fmt-мутації. Три мовчазні канали JS-канону стали гучними: нерезолвний `cargo`, ненульовий код `cargo fmt --all` і провал `cargo deny init` тепер логуються як помилка замість тихого no-op. JS-канон `fix-check.mjs` лишається на диску (парність, не заміна) - Native fix ядра (T4, exec-tool): портовано T0-фіксер changelog/consistency у crates/rules-core — план створення change-файлу будує Rust (reuse change_file + канонічного resolve_auto_change_message детектора), git спавниться лише заради опису; полагоджено два дефекти JS-канону — мовчазний no-op при нерозпізнаній мітці воркспейсу тепер гучна помилка, а розбіжність між autoChangeMessage фіксера і resolveAutoChangeMessage детектора зникла. image-compress/check лишається JS (бінарний вміст не виражається String-only WriteFile::content), text/cspell-fix уже нативний як fix-воркер (crates/rules-fix) — деталі й пропозиція FileEdit::WriteBytes у §2.70 реєстру ### Changed - Двигун template-merge винесено з `crates/plugin-ci-github` у спільний крейт `crates/rules-template-merge` — одне джерело істини семантики мержу для ОБОХ колiй міграції (нативної `rules-core` і wasm-гостей). Рефакторинг без зміни поведінки: 172 тести `plugin-ci-github` до = 143 + 29 після, розкладені за тим, що вони перевіряють. Мотив — родина `vscode_*`/`zed_settings` розсипана між колiями: девʼять концернів у ядрі (`npm/rules/**`), шість у плагінах. Дублювався б не код, а семантика (`identity_key`, `contained_in`, порядок ключів, поведінка на масивах обʼєктів), і розходження копій було б ТИХИМ — обидві компілюються, обидві зелені, а `.vscode/settings.json` після ядрового й після плагінного концерну виходить різний. Feature-гейт `jsonc` (default) / `yaml`: заміряно, що ядрова частина родини — виключно JSON/JSONC (`.vscode/extensions.json`, `.vscode/settings.json`, `.zed/settings.json`), тож `rules-core` братиме крейт БЕЗ `saphyr`. `is_yaml: bool` замінено на `Format`, чий варіант `Yaml` існує лише під фітом `yaml` — виклик YAML-шляху в jsonc-only збірці не компілюється, замість того щоб тихо повернути `None`. Розмір `plugin_ci_github.wasm`: 1 602 445 → 1 624 940 Б (+1,4 %) — ціна crate-межі без workspace-LTO. Без per-package release-профілю для нового крейта приріст був би +190 398 Б (+11,9 %) на чистому переносі коду. - Fix-бік wasm-мосту (`runWasmConcernFix`, `crates/rules-napi`) навчився будувати batch для `per-file`-концерну у ПОВНОМУ прогоні: `deltaFiles: undefined` — це заявлений `lint --full` (планувальник у цьому режимі списку не будує), тож хост робить той самий glob-обхід контрибуції, що `build_detect_batch_files` уже робить на detect-боці (§2.65). Доти exec-tool-фіксер `per-file`-концерну падав би `ambiguous_empty_fix_batch_err` при КОЖНОМУ `--full`, попри однозначно резолвний батч. Двозначність §2.52 не повернулась: `deltaFiles: []` (дельта є, але порожня) при непорожніх violations і далі падає гучно. Це передумова порту T0-фіксера `style/lint` у wasm-гість `lang-js` — деталі й знайдений через нього дефект (`scope: full` на fix-боці ігнорує дельту запиту, тобто дельта-прогін ганяв би `stylelint --fix` по всьому репозиторію) — §2.73 `docs/plans/2026-08-05-open-questions-register.md`. Тести: `cargo test -p rules-napi --lib run_wasm_concern_fix` — 9 passed (два нові: `per-file` з глобом і без дельти будує batch; порожня дельта і далі помилка). `cargo test -p rules-plugin-host` — 86 passed. `wasm-plugin-parity.test.mjs` — 276 passed. ## [1.110.0] - 2026-08-29 ### Added - ШОСТИЙ first-party wasm-гість — `crates/plugin-ci-azure` (`ci-azure/wasm-concerns`, `n-rules:plugin@3.2.0`), перший гість, заведений ПІСЛЯ підняття стелі розміру до 10 MiB і винесення `regorus` з wasm-гостя в хост (§2.55/§2.66): rego-двигун дістається БЕЗКОШТОВНО через host-import resource `rego-engine` з самого початку, без прямої `regorus`-залежності в `wasm32-wasip2` build graph. Перша хвиля порту — два з десяти концернів `plugins/ci-azure/rules/`, представники ОБОХ форм: `azure-pipelines/lint_pipeline` (чистий rego-детект, без T0-фіксатора) і `azure-pipelines/vscode_extensions` (rego-детект + T0-фіксатор, той самий спільний рушій `vscode-ext-add.mjs`, що `ga/vscode_extensions` у `plugin-ci-github`). JS-канон усіх десяти концернів лишається недоторканим. Знайдено й задокументовано нову пастку `regorus` (поверх `%q` з §2.66): built-in `walk()` потребує фіту `"graph"` у `rules-rego-engine` — без нього policy з `walk()` компілюється, але падає на еваluації з оманливою помилкою "unsafe variable", яка виглядає як баг Rego-безпеки, а насправді — відсутній builtin. Фікс — один рядок у спільному `crates/rules-rego-engine/Cargo.toml` (чисто адитивний фіт, безпечний для решти консюмерів). Розмір гостя (release, `wasm32-wasip2`): порожній 63 266 Б → +174 735 Б (перший концерн, каркас) → +10 758 Б (другий концерн, майже безкоштовний reuse) = 248 759 Б підсумково — на порядок менше за `plugin-ci-github` (1 571 007 Б, 5 концернів). Парність доведена через РЕАЛЬНИЙ napi-міст (критерій §2.47): `wasm-plugin-parity-ci-azure.test.mjs` — 7 passed. Golden-тест на `PluginHost` — `crates/rules-plugin-host/tests/plugin_ci_azure.rs` — 5 passed. Юніт-тести гостя — `cargo test -p plugin-ci-azure` — 16 passed. `cargo test -p rules-rego-engine` — 7 passed (5 наявних + 2 нових регресійних гейти на `walk()`/`graph.reachable` — доккомент crates/rules-rego-engine/src/lib.rs). `cargo test -p plugin-ci-github` — 156 passed (без регресій від спільного фіту). `conftest verify --policy plugins/ci-azure/rules` — 54 passed, 0 failures. Деталі, вибір концернів, покроковий розмір, обидві rego-пастки — §2.68 `docs/plans/2026-08-05-open-questions-register.md`. - `crates/plugin-ci-github` — родина `template-deep-merge` доперенесена цілком: усі дванадцять останніх JS-шимів (`abie/clean_merged_ignore_branches`, `docker/lint_docker_yml`, `ga/clean_ga_workflows`, `ga/clean_merged_branch`, `ga/git_ai`, `ga/lint_ga`, `ga/lint_repo_yml`, `ga/zizmor_yml`, `k8s/lint_k8s_yml`, `npm-module/npm_publish_yml`, `style/lint_style_yml`, `text/lint_text`) тепер мають wasm-детект (regorus для десяти, структурний `checkSnippet`-порт для двох без `.rego`) і wasm-фікс (той самий `fix_template_merge`, що третя хвиля); guest — 1 602 445 Б (15,3% стелі 10 MiB). Попутно виправлено `%q` (regorus не підтримує Go-verb) у шести `.rego`-файлах і знайдено реальний баг канону — незахищений `job.steps[_].uses` у `lint_ga.rego`/`lint_text.rego` валив увесь `job_uses_set` на кроці без `uses`. ### Fixed - `--full` більше не бреше про чистоту `per-file` wasm-концернів. `run_wasm_concern` (`crates/rules-napi/src/lib.rs`) будував batch за задекларованим glob-ом контрибуції ЛИШЕ для `scope: full`, а `per-file`-концерн у full-прогоні (`files: None` — саме те, що передає планувальник для КОЖНОГО концерну в `--full`) діставав ПОРОЖНІЙ batch: гість бачив нуль файлів, повертав нуль діагностик, концерн звітував «чисто» — мовчки, без помилки чи попередження. Так у `--full` не перевірялись дев'ять контрибуцій у чотирьох гостях: `vue/tfm-translations`, `js/doc_comments`, `python/doc_comments`, `python/mypy`, `python/ruff`, `rust/doc_comments`, `rust/wasm_component`, `php/mago_fmt`, `php/mago_lint`. Тепер хост будує batch за glob-ом НЕЗАЛЕЖНО від `scope` (`build_detect_batch_files`): для детекту це безпечно — він read-only, а `--full` для `per-file`-концерну означає рівно «перевір кожен файл під його glob-ом», те саме, що завжди робив JS-канон. Асиметрія з fix-контуром лишається свідомою: там glob-обхід виправляв би файли поза дельтою запиту, тому дельту й далі несе окремий аргумент `delta_files`. Стан, у якому batch побудувати НЕМОЖЛИВО (концерн не заявлений у `describe().concerns` або `per-file` без жодного glob-патерну), тепер падає типізованою помилкою з поясненням і підказкою — дзеркало `ambiguous_empty_fix_batch_err` на detect-боці; порожній glob у `scope: full` лишається легітимним заявленим наміром (`js/jscpd_duplicates`). Разом із цим `python/mypy`/`python/ruff` додали до glob-а контрибуції `pyproject.toml`, а `php/mago_fmt`/`php/mago_lint` — `composer.json`: у full-прогоні «якорі» (`concern.json.lint.anchors`) до batch-у не потрапляють — їх знає лише JS-планувальник дельти, а WIT-контрибуція поля `anchors` не має, тож без цього кроку ті чотири детектори й далі мовчки виходили б у `Skip`, лише вже з непорожнім batch-ем. Тести: `cargo test -p rules-napi` — 21 passed (було 13, +8), новий `wasm-detect-full-per-file.test.mjs` — 7 passed, по одному представнику з кожного з п'яти гостей крізь РЕАЛЬНИЙ napi-міст. Червоність доведено дією ДО фіксу: 3 з 4 нових napi-тестів і 6 із 7 bridge-тестів падали саме мовчазним `{"violations": []}`. Parity-гейти всіх п'яти гостей — 452 passed, детект/фікс-контур — 131 passed, без регресій. Деталі — §2.65 `docs/plans/2026-08-05-open-questions-register.md`. ## [1.109.0] - 2026-08-28 ### Added - Native fix ядра (T3, без wasm): портовано ще 3 T0-фіксери в crates/rules-core — text/oxfmt і text/markdownlint (exec-tool клас: oxfmt --write / npx markdownlint-cli2 --fix, spawn + before/after diff у тій самій Rust-функції, що будує FixPlan) та nginx-default-tpl/template (структурний, reuse геть детектора); JS-канон (fix-oxfmt.mjs/fix-markdownlint.mjs/fix-template.mjs) лишається на диску як фолбек, диспетчер (NATIVE_FIXES) тепер завжди бере нативний шлях ### Changed - `regorus`-рушій (rego-оцінка `ga/workflows`/трьох policy-концернів `plugin-ci-github`) винесено з wasm-гостя в хост — гість більше не несе власну копію `regorus` у своєму component-артефакті, а кличе підготовлений двигун через НОВИЙ imported resource `rego-engine` (`n-rules:plugin@3.1.0` → `3.2.0`, `crates/rules-contract/wit/world.wit`). ПЕРШИЙ imported resource контракту цього репозиторію — доведено спершу мінімальним прикладом (`wit-bindgen` 0.60 + `wasmtime` 48), потім портовано на реальний rego-виклик. Спільна тонка обгортка над `regorus::Engine` (add-policy/add-data-json/eval-rule) винесена в новий крейт `crates/rules-rego-engine` — ОДНЕ джерело істини для rego-семантики, яку споживають ДВОМА шляхами під `cfg`: `crates/rules-plugin-host` реалізує host-import resource для wasm32 (продакшн), а `crates/plugin-ci-github` під `cfg(not(target_arch = "wasm32"))` кличе той самий крейт in-process (нативні `cargo test`) — так 53 наявні нативні тести найризикованішої частини порту (YAML→JSON + rego-виконання) лишились ПОВНІСТЮ покритими, попри перенесення продакшн-шляху за component-межу. Семантику rego тепер пінує пін `regorus` у ХОСТІ (`0.11`, `["regex","std","arc"]` — `"arc"` додано понад пін гостя, бо `wasmtime::component::ResourceTable::push` вимагає `Send`, а `regorus::Engine` за замовчуванням тримає джерела в не-`Send` `Rc`), не пін плагіна — нова спільна поверхня сумісності, задокументована у версійному блоці WIT. Розмір гостя (release, `wasm32-wasip2`): 2 700 455 → 1 571 007 Б (−1 129 448 Б, −41,8%). Батч-шлях (`ga/workflows`, `workflow_common`: підготувати двигун РАЗ, оцінити на N файлах) НЕ просів — виміряно 50 прогонів `detect(ga/workflows)` на 15 реальних workflow-файлах цього репозиторію через РЕАЛЬНИЙ napi-міст: 18,321 мс/прогін (до) → 15,847 мс/прогін (після), у межах шуму заміру, без регресії. Тести: `cargo test -p plugin-ci-github` — 156 passed (без змін очікувань). `cargo test -p rules-plugin-host` — 126 passed (+ host-реалізація `HostRegoEngine`). `cargo test -p rules-rego-engine` — 5 passed (новий крейт). `cargo test -p rules-contract` — 63 passed (версійна константа world звірена з `3.2.0`). Bridge-тест `wasm-plugin-parity-ci-github.test.mjs` — 31 passed (без змін). `conftest verify -p plugins/ci-github/rules/` — 125 passed, 0 failures (rego-джерела не чіпались). Деталі, доведення imported-resource-механізму, і числа — §2.66 `docs/plans/2026-08-05-open-questions-register.md`. ## [1.108.0] - 2026-08-28 ### Added - exec-tool fix клас (host-diff): портовано python/ruff — перший фіксер, що мутує диск напряму через exec-tool (uv run --frozen ruff check --fix . + ruff format .); хост сам знімає знімок диска до/після виклику fix() і синтезує edits із різниці (runWasmConcernFix, crates/rules-napi/src/lib.rs), без зміни WIT ## [1.107.4] - 2026-08-28 ### Fixed - `plugin-ci-github` (`try_surgical_merge`) закрив останню виміряну межу хірургічного comment-preserving merge — вставка ВСЕРЕДИНУ однорядкового YAML flow-контейнера (`on: {push: {branches: [main]}}`, `branches: [main]`). Раніше `next_line_start` не мав де шукати `\n` у flow-контейнері, `surgical_merge_object`/`surgical_merge_array` поверталися в `None`, а через all-or-nothing обхід `surgical_merge_node` ОДНА нездійсненна flow-вставка будь-де в дереві валила ВЕСЬ документ на повну регенерацію — коментарі губились усі, не лише ті, що біля flow-вузла (§2.61/§2.62 виміряли це як «anchor/alias і flow-стиль непідтримні», що виявилось ширшим за факт: anchor/alias уже працював, справжня межа — рівно flow-nested-insert). Новий `is_flow_container`/`flow_insert_point`/`write_yaml_flow_value` розпізнає flow-контейнер (перший байт спану — `{`/`[`) і вставляє новий вміст inline, безпосередньо перед закриваючим `}`/`]` (байтовий офсет якого `MarkedYamlOwned`-спан дає точно — на відміну від наївного припущення, `Span.end` дорівнює офсету самого закриваючого байта, не одному після нього), з комою-роздільником лише коли потрібно (порожній контейнер і наявна trailing-кома — окремі, перевірені випадки, друга кома не дописується). Жодної нової залежності (сім крейтів-кандидатів оцінено й відхилено раніше, §2.61/§2.62) — увесь код перевикористовує наявний `yaml_key`/`yaml_scalar` double-quote контракт. Обовʼязковий post-generation guard (`try_surgical_merge` перепарсює результат і звіряє `is_subset` перед поверненням) не чіпався — валідність виводу так само не підлягає компромісу, як і раніше. Тести: `cargo test -p plugin-ci-github` — 156 passed (було 148, +8: шість нових flow-фікстур і дві регресійні — anchor/alias без flow, чистий block-стиль). Доведена червоність усіх шести нових flow-тестів ДО фіксу (`git stash` продакшн-коду) — `try_surgical_merge` повертав `None`. Незалежно — новий bridge-тест крізь РЕАЛЬНИЙ `runWasmConcernFix` napi-міст (`wasm-plugin-parity-ci-github.test.mjs`, 31 passed, було 30) на production-канонічному snippet-і, теж доведено червоним на незібраному .wasm ДО фіксу (весь документ ішов у повну регенерацію, файловий коментар зникав). Розмір гостя: 2 698 833 → 2 700 455 Б (+1 622 Б, ~0,06% бази) — на порядки менше за будь-який попередній крок цього крейта і за обидва відхилені крейти-кандидати (§2.61: `yamlpatch` +665 933; §2.62: `yaml-edit`/`yaml-rt-core` +168 152/+367 517). Деталі, повний список фікстур і аналіз пастки зі спаном flow-контейнера — §2.63 `docs/plans/2026-08-05-open-questions-register.md`. ## [1.107.3] - 2026-08-28 ### Changed - `wasmtime` і `wasmtime-wasi` підняті з 47.0 до 48.0 — передумова переходу гостей на `wasm32-wasip3` (WASIp3-хост живе у `wasmtime-wasi` за feature-гейтом `p3`, який і в 47, і в 48 однаково позначений самим апстрімом як експериментальний, нестабільний і неповний; ця зміна його ще НЕ вмикає — лише піднімає базу). Одна ламка API: `wasmtime-wasi` 48 звів колишню пару `DirPerms`/`FilePerms` в один enum `FsPerms`, і `preopened_dir` став трипараметричним. Обидва прапорці в `PluginHost::new` і так виставлялись у `READ` разом — окремий rw-стан для теки й для файлу сенсу не мав, — тож заміна на `FsPerms::ReadOnly` семантику не змінює: плагін і далі читає preopen і не мутує його (рішення Е спеки). Тести `cargo test -p rules-plugin-host` — 126 passed, 1 ignored, без регресій. ## [1.107.2] - 2026-08-28 ### Fixed - `plugin-ci-github` (`fix_template_merge`, `fix_vscode_extensions`, `detect_policy`) отримав СПРАВЖНЮ JSONC comment-preserving підтримку для `.vscode/*.json`-таргетів — заміна floor-валідатора `is_strict_json` (§2.58), який раніше свідомо відхиляв БУДЬ-ЯКИЙ JSONC-вхід («не строгий JSON → не чіпаємо»), новим крейтом `jsonc-parser` (dprint, MIT, бездепний без явних фітів). `.vscode/settings.json`/`.vscode/extensions.json` з `//`/`/* */`-коментарями чи trailing-комою (продакшн-VS-Code-конвенція пише саме такий файл) тепер РЕАЛЬНО мерджиться — коментарі виживають байт-у-байт через ТУ САМУ хірургічну машинерію (`MNode`/`Edit`/`apply_edits`), що вже давала YAML-гілці comment-preserving merge (§2.56/§2.58) — не другий рушій: анотоване дерево `jsonc_parser::ast::Value` (байтові `Range` на кожному вузлі, коментарі НЕ входять у діапазон жодного з них — той самий «trivia»-контракт) конвертується в той самий `MNode`, що `saphyr::MarkedYamlOwned` для YAML. Нова пастка, знайдена й закрита під час розробки: `is_strict_json` (§2.58) повністю відхиляла trailing-кому, тож `surgical_merge_object`/`surgical_merge_array` ніколи не бачили JSON-вхід з наявною trailing-комою ПЕРЕД точкою вставки — їхня безумовна синтетична кома була безпечна лише тому, що вхід ніколи не мав власної там. Реальна JSONC-підтримка прибирає цю гарантію (подвійна кома — синтаксично невалідний JSON, хоч і спіймана post-generation guard'ом § 2.58, що падає на безпечну, але не хірургічну повну регенерацію) — новий `already_has_trailing_comma` розпізнає наявну кому й НЕ дописує другу. `fix_vscode_extensions` (простіший union-merge рушій, точний порт канонічного `vscode-ext-add.mjs`, який САМ завжди повністю регенерує вивід) отримав лише апгрейд ЧИТАННЯ — JSONC-вхід тепер реально мерджиться (дані не втрачені), але запис лишається повною регенерацією (коментарі не переживають запис, той самий контракт, що канон) — свідома, задокументована межа, не тиха. Тести: `cargo test -p plugin-ci-github` — 148 passed (було 140). `wasm-plugin-parity-ci-github.test.mjs` — 30 passed. Доведена червоність нових fixture-тестів проти pre-fix коду (тимчасовий `git worktree`) — 7 з 8 нових поведінкових тестів падали (порожній `plan.edits`/`index out of bounds`), 8-й (plain-JSON регресія) вже проходив, як і очікувалось для guard-тесту. Розмір гостя: 2 658 330 → 2 698 833 Б (+40 503, ~0,39% стелі 10 MiB). Деталі, повний список фікстур, доведена червоність і аналіз пастки з trailing-комою — §2.59 `docs/plans/2026-08-05-open-questions-register.md`. ## [1.107.1] - 2026-08-28 ### Fixed - `plugin-ci-github` (`fix_template_merge`, `security/lint_security_yml` і `ga/vscode_settings`) прибрав єдину свідому розбіжність із каноном, яку залишила третя хвиля порту (§2.56): T0-фікс YAML/JSON-таргетів більше НЕ регенерує весь файл із нуля через `write_yaml_block`/`json_to_pretty_string` — новий хірургічний шлях (`try_surgical_merge`, `saphyr::MarkedYamlOwned`-спани на кожному вузлі наявного дерева) вставляє чи замінює лише байтові діапазони, яких реально бракує; недоторкані рядки лишаються байт-у-байт оригіналом — коментарі, порожні рядки, стиль лапок і відступи наявного файлу зберігаються, той самий контракт, що `yaml`-пакет JS-канону (`Document.setIn`/`addIn`, `npm/scripts/lib/fix/template-deep-merge.mjs`). Обсяг розширено самим власником репозиторію під час сесії: постановка просила лише YAML-гілку («JSON-гілку не чіпай»), але власник відповів, що JSON-регенерація — та сама вада канону, яку варто полагодити заразом, не дзеркалити. Коли хірургічний шлях недосяжний для конкретного дерева (порожній контейнер без запису для прив'язки вставки, тип вузла не збігається зі snippet-ом, чи для JSON — точка вставки вийшла б за межі власного `}`/`]`) — падає на старий шлях повної регенерації, завжди коректний (повторний детект чистий), не завжди comment-preserving — чесний fallback, не тихий. Знайдена й виправлена під час розробки пастка: block-стиль YAML не має явного закриваючого токена, тож `Span.end` контейнера, що є ОСТАННІМ реальним вмістом документа, резолвиться в EOF (за трейлінг-коментарем), не в кінець власного вмісту — `deepest_last_leaf_end` (рекурсивний спуск до останнього скалярного листка) обходить цю розбіжність. Незалежне ревʼю знайшло реальний баг у першій версії: фікстура з КІЛЬКОМА одночасними вставками на різних рівнях глибини давала синтаксично невалідний YAML (кілька різних вставок структурно «дном впиралися» в ту саму найглибшу позицію документа, застосовувались у зворотному порядку). Виправлено двома незалежними шарами: (1) `apply_edits` тепер застосовує вставки з однаковим офсетом у порядку, що відповідає їхній фактичній вкладеності (найглибша — найближче до якоря); (2) `try_surgical_merge` ДОДАТКОВО повторно парсить результат і звіряє його зі snippet-ом ПЕРЕД тим, як повернути — будь-яка невідповідність (синтаксична чи семантична) падає на стару повну регенерацію, а не віддає непідтверджений вивід («валідність виводу не підлягає компромісу» — рішення власника). Перевірено трьома незалежними шляхами (Rust-юніт-тест, JS bridge-тест крізь РЕАЛЬНИЙ napi-міст з парсингом РЕАЛЬНИМ `yaml`-пакетом канону, і ручний standalone-репро) на фікстурі ревʼювера. Той самий ширший прогін фікстур знайшов і полагодив ще одну ваду — вже НЕ з цього PR, а таку, що вже була на `main` (третя хвиля порту, #527): **втрата даних** на `.vscode/settings.json`/`.vscode/extensions.json` із JSONC-коментарями (продакшн-VS-Code-конвенція пише саме такий файл). `parse_yaml_document` — YAML 1.2-парсер, для якого `//` НЕ коментар: `// коментар\n"editor.formatOnSave": true` читався як один багаторядковий ключ, і РЕАЛЬНЕ налаштування користувача тихо зникало з файлу при фіксі — регрес проти JS-канону (`JSON.parse` там кидає на JSONC і файл не чіпається). Новий `is_strict_json` — ручний RFC 8259-валідатор (без побудови значення, лише bool) — гейтить усі три місця, де JSON-таргет читається толерантним YAML-парсером (`fix_template_merge`, `fix_vscode_extensions`, `detect_policy`): не строгий JSON тепер трактується РІВНО як побитий синтаксис — файл не чіпається, як у канону (floor, не спроба JSONC comment-preserving мержу — та мета лишається нереалізованою, рішення власника: коректність важливіша). Розмір гостя 2 619 303 → 2 658 330 Б (+39 027, ~0,38% стелі 10 MiB, §2.55). Тести (кожен — точний очікуваний вміст або пряма перевірка валідності/is_subset, не лише «detect чистий»): YAML-фікстура з двома коментарями (усередині блоку, який merge зачіпає, і одразу перед точкою вставки), JSON-фікстура з нестандартним 4-пробільним відступом і незвичним порядком ключів, регрес-фікстура з кількома одночасними вставками на різних рівнях глибини (Rust + JS bridge), і JSONC-фікстури (провідний і хвостовий `//`-коментар, обидва JSON-таргети, Rust + JS bridge). Деталі, доведена червоність нових тестів, обидва знайдені й виправлені баги, і де автор не згоден з постановкою — §2.58 `docs/plans/2026-08-05-open-questions-register.md`. ## [1.107.0] - 2026-08-28 ### Changed - `plugin-ci-github` (wasm-гість `ci-github/wasm-concerns`) отримав третю хвилю порту — три policy-концерни (`ga/vscode_extensions`, `ga/vscode_settings`, `security/lint_security_yml`), кожен detect+fix, доказ, що обидва спільні JS T0-fix-рушені (`npm/scripts/lib/fix/vscode-ext-add.mjs` і `npm/scripts/lib/fix/template-deep-merge.mjs`, разом шимлять 15 концернів цього гостя) масштабуються на решту концернів без нової інфраструктури. `template-deep-merge`-концерни обрано як представники двох форм таргету (JSON — `ga/vscode_settings`, YAML — `security/lint_security_yml`), не як зручні. Detect-логіка всіх трьох — той самий IN-PROCESS `regorus`-шлях, що друга хвиля (`ga/workflows`): власний `.rego`-пакет на концерн, вшитий `include_str!`. Дві нові deep-subset/deep-merge Rust-функції ([`is_subset`]/[`merge_json_value`]) — точний порт `checkSnippet`/`mergeJsonValue` (`npm/scripts/lib/template.mjs`); два нові серіалізатори (`write_json_pretty` — pretty JSON, `write_yaml_block` — block-стиль YAML, СВІДОМО не comment-preserving). JS-реалізації не видалено — guestFix-пріоритет диспетчера (`T0Pattern.guestFix`) веде фікс крізь wasm автоматично. Розмір гостя 2 604 774 → 2 619 303 Б (+14 529, 62,4% стелі 4 MiB) — вимірювалось поетапно: перший порт (заводить JSON-інфраструктуру) коштував 6 091 Б, кожен наступний концерн на вже злінкованій інфраструктурі — 3 880–4 558 Б. Парність доведено крізь реальний napi-міст (`runWasmConcern` → `runWasmConcernFix` → застосування правок → повторний детект чистий), не прямим викликом гостя. Побічний фікс: три `.rego`-джерела (`vscode_extensions.rego`/`vscode_settings.rego`/`lint_security_yml.rego`) отримали ту саму заміну `%q` → `\"%v\"`, що друга хвиля застосувала до пʼяти `ga/workflows`-namespace-ів — regorus відкидає `%q` як runtime-помилку (byte-ідентично conftest-виводу для звичайних рядків, підтверджено `conftest verify` 12/12 без регресій). Деталі, числа й відкриті питання — §2.56 `docs/plans/2026-08-05-open-questions-register.md`. ## [1.106.1] - 2026-08-28 ### Changed - Стелю розміру wasm-компонента піднято з 4 MiB до 10 MiB (10 485 760 Б). 4 MiB (попередня зміна) вже розблоковували перенесення родини `template-deep-merge`/`vscode-ext-add` у `plugin-ci-github` — 15 концернів, виміряні ~24 КБ на перший порт у гостя без JSON-інфраструктури, — але не лишали запасу на подальші хвилі того ж гостя. При 10 MiB найбільший гість (`plugin-ci-github`, 2 604 774 Б) займає ~24,8%, тобто стеля свідомо перестає бути робочим бюджетом і лишається backstop-ом від втечі розміру. Рішення прийнято усвідомлено, після того як зʼясувалось, що стеля стримувала не зростання гостей, а саму міграцію: число 2,5 MiB було оцінкою під ОДНОГО гостя (AST-крейт `plugin-lang-js`), а вперся в нього `plugin-ci-github`, який `oxc_parser` не містить узагалі, і під ним немає жодного зовнішнього обмеження (рантайм розмір компонента не обмежує, size-гейта в CI немає, npm-пакет стелею не обмежений). Відкрите питання §2.55 — окремі бюджети на гостя замість плоскої стелі — від цієї зміни стає гострішим, а не мʼякшим: розкид гостей тепер 1,4%…24,8%, і плоский backstop не ловить повзучого росту жодного з них. ## [1.106.0] - 2026-08-28 ### Added - `plugin-lang-js` (wasm-гість): портовано T0-фіксер `bun/layout` (`fix_bun_layout`, `crates/plugin-lang-js/src/lib.rs`) — точний семантичний порт трьох патернів видаленого `plugins/lang-js/rules/bun/layout/fix-layout.mjs`: `rm-forbidden-file` (видаляє заборонені lock/конфіг-файли чужих пакет-менеджерів, ім'я читається з `diagnostic.message`), `bun-bunfig-create` (створює канонічний `bunfig.toml`, лише коли його ще немає), `bun-yarn-dir-remove` (видаляє директорію `.yarn` цілком — `FileEdit::Delete` на КАТАЛОГ, перший реальний споживач цієї здатності в цьому крейті). `bun/layout` — `scope: full`, WHOLE-BATCH-концерн (жодна діагностика не несе `file`), тож фікс іде штатною full-scope-гілкою `run_wasm_concern_fix` (`crates/rules-napi/src/lib.rs`), не через `delta_files`-фолбек. Спершу знятий характеризаційний гейт на теперішній JS-поведінці (`plugins/lang-js/rules/bun/layout/tests/fix-layout.test.mjs`, 10 тестів, раніше цей фіксер не мав жодного тесту), потім порт, потім парність доведена через РЕАЛЬНИЙ napi-міст (`loadNative().runWasmConcern` → `runWasmConcernFix` → `applyPlanEdit` → повторний `runWasmConcern` чистий) — 4 нові сценарії в `npm/scripts/lib/lint-surface/tests/wasm-plugin-parity.test.mjs`, включно з `.yarn/`-каталогом із вкладеним вмістом. Прямий виклик гостя цим свідомо не замінено (§2.47/§2.49 open-questions-register): саме тестування через міст виявило, що локально зібраний `rules-napi`-аддон під час розробки підмінявся застарілим прекомпільованим `@7n/rules-darwin-arm64`-підпакетом (порожній `FixPlan` без жодної помилки) — не баг контракту чи гостя, а стандартний pin-drift дев-середовища; локальний `cargo build -p rules-napi --release` вирішив. JS-фіксер (`fix-layout.mjs`) НЕ видалено — диспетчер `run-fix.mjs` (`T0Pattern.guestFix`) автоматично пріоритезує гостя. Розмір гостя: 2 261 653 → 2 262 509 байт (+856, 86,3% бюджету 2 621 440). Тести: `cargo test -p plugin-lang-js` 401/401 (+11), `cargo test -p rules-napi` 13/13 без регресій, `wasm-plugin-parity.test.mjs` 264/264 без регресій, `fix-layout.test.mjs` 10/10. ## [1.105.1] - 2026-08-28 ### Changed - Стелю розміру wasm-компонента піднято з 2,5 MiB (2 621 440 Б) до 4 MiB (4 194 304 Б), а сам гейт зведено в один спільний модуль `npm/scripts/lib/lint-surface/tests/wasm-size-budget.mjs` замість пʼяти незалежних копій константи в parity-тестах кожного гостя. Причина: 2,5 MiB — не зовнішнє обмеження, а ОЦІНКА зі спайка `docs/specs/2026-08-01-wasm-ast-strategy.md` («549 KB парсер + запас під glue, бізнес-логіку пʼяти concern-ів і розширення»), порахована під одного-єдиного гостя — AST-крейт `plugin-lang-js`. Далі те саме число механічно скопіювали в гейти решти чотирьох, композиція яких із тим розрахунком не повʼязана. Уперся в стелю саме `plugin-ci-github` (2 604 774 Б, 99,4% — запасу 16 666 Б, тобто наступний порт туди не влазить), гість, що взагалі не містить `oxc_parser`, під який рахували стелю. Зовнішнього ліміту під цим числом немає: рантайм розмір компонента не обмежує, окремого size-гейта в `.github/workflows` немає, npm-пакет стелею не обмежений. Заразом уніфіковано розбіжність операторів (гейт `ci-github` перевіряв `toBeLessThan`, решта чотири — `toBeLessThanOrEqual`) і прибрано захардкоджений текст «2,5 MiB» із назв тестів — підпис тепер походить від самої константи. Гейт лишається кусючим: перевірено тимчасовим зниженням стелі до 2 MiB — `ci-github` падає `expected 2604774 to be less than or equal to 2097152`. Записано межу цього гейта: єдина плоска стеля на пʼятьох гостей із розкидом 5,6%…99,4% ловить різкий стрибок, але не повзучий ріст гостя з великим запасом (`plugin-lang-php` може вирости в 20 разів і лишитись зеленим) — окремі бюджети на гостя винесено відкритим питанням у реєстр. ## [1.105.0] - 2026-08-28 ### Added - `plugin-lang-js` (wasm-гість): портовано T0-фіксер `js-run/runtime` — `js-run-jsconfig-create` (`fix-runtime.mjs`, єдиний патерн концерну, чий детект уже цілком портований). Точний семантичний порт: для кожної діагностики «є каталог `src/`, але немає `jsconfig.json`» витягує workspace анхореним парсингом (`jsconfig_missing_ws`, точний порт `JSCONFIG_MISSING_WS_RE`) і пише канонічний `/jsconfig.json`, якщо файл ще відсутній у батчі. Канон (`js-run/jsconfig/template/jsconfig.json.snippet.json`) вшито через `include_str!` з анти-дрейф-тестом (той самий прецедент, що `KNIP_CANONICAL_JSON`). `js-run/runtime` — другий whole-batch концерн у репо (жодна діагностика не несе `file`), тому парність доведено через РЕАЛЬНИЙ napi-міст (`runWasmConcern` → `runWasmConcernFix`), а не прямий виклик гостя — новий describe у `wasm-plugin-parity.test.mjs`. Попередньо знято характеризаційний JS-гейт для `fix-runtime.mjs` (`plugins/lang-js/rules/js-run/runtime/tests/fix-runtime.test.mjs`, 11 тестів) — файл ніколи не мав тестів. Заразом виправлено застарілу тезу доккомента «Зріз 7» про те, що фіксер — текстовий патч `package.json#imports`: файл уже спрощений до одного FS-патерну задовго до цього порту. JS-фіксер свідомо НЕ видалено — спершу парність; диспетчер `run-fix.mjs` (`T0Pattern.guestFix`) автоматично пріоритезує гостя без жодної зміни коду. Розмір гостя: 2 261 653 → 2 262 700 байт (+1 047, 0.04% бюджету 2 621 440, запасу лишилось 358 740 байт). Тести: `cargo test -p plugin-lang-js` 396 → 405 (+9), `wasm-plugin-parity.test.mjs` 260 → 263 (+3), новий `fix-runtime.test.mjs` 11/11. ## [1.104.3] - 2026-08-28 ### Changed - chore(release): синк пінів платформних napi-пакетів @7n/rules ## [1.104.2] - 2026-08-28 ### Fixed - JS-міст fix-плану (`npm/scripts/lib/lint-surface/run-fix.mjs::nativeFixPattern`/ `wasmFixPattern`) мовчки не застосовував `delete` на директорію — гучний no-op, той самий клас вади, що #513/#517. Rust-бік (`crates/rules-fix/src/t0.rs::to_edit_plan`) уже вміє видаляти `Delete`-теку: розгортає її в пофайлові `Delete` всього піддерева й після успішного commit прибирає спорожнілі теки знизу вгору (`sweep_empty_dirs`). JS-бік цього не мав — обидва майже однакові цикли застосування плану (`nativeFixPattern.apply`/`wasmFixPattern.apply`) робили голий `unlink(abs)` на `delete`-правку в `try { ... } catch { /* best-effort */ }`. Дві вади: `unlink` на директорію падає (EPERM на macOS, EISDIR на Linux) — гість, що емітить `delete(".firebase")`/`delete(".yarn")` для концерну без full-scope-обходу, лишався зеленим і безрезультатним; і голий `catch {}` ковтав БУДЬ-яку помилку (права доступу, зайнятий файл, збій ФС), не лише «шлях уже відсутній». Емпірично: старий код на `delete(".firebase")` кидав `EPERM: operation not permitted, unlink`, ковтав його мовчки, директорія лишалась на диску, `touchedFiles: []`. Обидва цикли злиті у спільний `applyPlanEdit(edit, cwd, ctx)`. `delete` тепер іде через `fs.rm(abs, {recursive:true})` — один виклик прибирає і файл, і директорію рекурсивно, з тим самим кінцевим станом, що й Rust-міст (там розгортання по файлах потрібне лише для журналу editLog, якого тут немає). Ловиться ЛИШЕ `ENOENT` (шлях уже відсутній — задокументований best-effort, той самий дух, що коментар `to_edit_plan` про "Delete на відсутній файл"). Будь-яка ІНША помилка більше не ковтається — кидається `Error` (з `cause`), що зупиняє fix-прогін гучно замість тихого «0 файлів змінено» (`applyT0` кличе `p.apply()` без обгортки try/catch — виняток піднімається аж до `runFixPipeline`). Заразом виправлено застарілий доккомент `crates/rules-core/src/concerns/fix_abie_security.rs` (описував старий `t0.rs::apply_plan`, якого вже нема, — стверджував, що виконавець «наразі вміє лише `std::fs::remove_file`», хоча `to_edit_plan` вже розгортає Delete-теки). Нові тести `npm/scripts/lib/lint-surface/tests/run-fix.test.mjs` (`applyPlanEdit — ...`): `delete` на директорію з вкладеними файлами прибирає все піддерево; `delete` на відсутній шлях — `null`, без throw; `delete`, що впирається у не-ENOENT помилку (ENOTDIR через шлях-крізь-файл, детерміновано без залежності від прав root/CI) — кидає `Error`. Усі три падали до фіксу (перевірено емпірично: тимчасовий відкат `run-fix.mjs` на `unlink` дав `applyPlanEdit is not a function` для всіх трьох — функція взагалі не існувала в старому коді). ## [1.104.1] - 2026-08-28 ### Added - `runWasmConcernFix` (`crates/rules-napi/src/lib.rs`) приймає шостий, опційний аргумент `delta_files` — явний список файлів запиту (той самий, що йде в `runWasmConcern` на детекті). Він знімає стан, який #517 зробив гучною помилкою: `per-file`-концерн із АГРЕГОВАНИМИ діагностиками (одна на весь прогін зовнішнього тула, який не атрибутує вивід по файлах — живий приклад `python/ruff`) не давав хосту з чого побудувати `FixRequest::files`, бо жодна діагностика не несла `file`. Це рішення (б) розвилки, яку #517 лишив у WIT-доккоменті: не забороняти `file: none` для `per-file` (варіант (а)), а визнати, що дельта — властивість ЗАПИТУ, а не діагностики. Варіант (а) змусив би кожен агрегований детектор парсити вивід тула й синтезувати per-file діагностики заради host-механіки, якій відповідність «діагностика → файл» не потрібна: фіксер такого концерну хоче список таргетів (`ruff check --fix `), а не мапу. Розширювати контракт не довелось — `fix-request.files` існує з `3.0.0` як окреме поле, не похідне від `diagnostics`; бракувало лише проводки host → napi. Жодного ABI-руху й version bump: guest-и не чіпані, `.wasm`-пін не змінюється. Порядок джерел `FixRequest::files`: `diagnostics[].file` (найвужчий батч, пріоритет незмінний) → full-scope glob-обхід для `scope: full` → явна дельта запиту → типізована помилка. Помилка #517 лишається backstop-ом на проводку (мовчазний порожній батч тут був би регресом до #513); порожня дельта (`Some([])`) за відповідь НЕ приймається — це той самий нерозрізненний стан, що й відсутня. JS-бік (`npm/scripts/lib/lint-surface/run-fix.mjs`): `loadT0Patterns` бере пʼятим аргументом дельту й вшиває її у wasm-патерн — з тієї ж причини, що й `cwd`: `T0Pattern.test(violations)` не приймає `ctx`, а план будується вже в `test()` і кешується під identity `violations`. Викликачі, які дельту не передають, поведінки не міняють (`undefined` лишає хосту full-scope гілку). Побічний наслідок: «Перешкода 1» з розбору порту `python/ruff` (PR #516) цією зміною знята — порт лишається відкладеним тільки через межу exec-tool у fix-контурі. ### Fixed - Ліміт паралелізму vitest більше не мовчазна фікція: обидва конфіги (кореневий `vitest.config.mjs` і пакетний `npm/vitest.config.js`) переведено з `poolOptions: { forks: { maxForks: 4 } }` на верхньорівневий `maxWorkers: 4`. У Vitest 4 секцію `poolOptions` ВИДАЛЕНО, а невідомий ключ конфігу не є помилкою — його мовчки ігнорують, друкуючи в stderr лише рядок `DEPRECATED`. Тобто ліміт, доданий саме щоб приборкати кількість `node`-процесів при паралельній роботі кількох агентів/worktree, не діяв узагалі. Заміряно на 12 тестових файлах / 10 ядрах: зі старим ключем — 9 одночасних форків (пул брав ядра), з `maxWorkers: 4` — рівно 4. Щоб наступне перейменування опції не пройшло так само тихо, додано гейт `npm/tests/vitest-config-contract.test.mjs`: він розвʼязує обидва конфіги тим самим `resolveConfig` із `vitest/node`, що й сам раннер, і перевіряє РЕЗУЛЬТУЮЧЕ значення (`maxWorkers === 4`, `pool === 'forks'`), а не текст конфігу. Червоність гейта доведено: з поверненим `poolOptions` він падає `expected undefined to be 4`. ## [1.104.0] - 2026-08-28 ### Added - `plugin-ci-github` (wasm-гість): портовано другий T0-фіксер — `rust/toolchain_cache` (перша хвиля гостя, детект `scan_toolchain_steps` уже жив у гості). Точний семантичний порт двох чисто текстових T0-патернів `fix-toolchain_cache.mjs`: `insertRustCache` (вставляє `Swatinem/rust-cache@v2` одразу після `dtolnay/rust-toolchain@…`-кроку без cache-кроку в тому самому job-і) і `addCacheWorkspaces` (дописує `with.workspaces` у Tauri-job-ах, де `Cargo.toml` не в корені репо). Сканувальний рушій детектора (`scan_toolchain_steps`/`ToolchainStepScan`) перевикористано напряму — розширено трьома полями (`line`/`dash_col`/`cache_line`), які потрібні фіксеру для координат вставки, але не потрібні детекту; жодного другого скана не написано. `fix_toolchain_cache` компонує обидва трансформери послідовно на одному буфері, той самий мотив, що `fix_workflows` (#512). Жодного нового регекс-патерну не знадобилось — усі чотири текстові патерни цього концерну вже портовані вручну на detect-боці ще до #512. JS-фіксер (`fix-toolchain_cache.mjs`) свідомо НЕ видалено — спершу парність; диспетчер `run-fix.mjs` (T0Pattern.guestFix) автоматично пріоритезує гостя без жодної зміни коду. Бюджет мірявся поетапно (одна трансформація → зібрати → зміряти, як і вимагала постановка): крок 1 (`insert_rust_cache`) — +8 436 байт, крок 2 (`add_cache_workspaces`, дешевший — переюзав уже злінковану `Vec`/`splice`/`format!`-машинерію кроку 1) — +5 896 байт. Розмір гостя: 2 590 442 → 2 604 774 байт (+14 332, 99.4% бюджету 2 621 440, запасу лишилось 16 666 байт). Тести: cargo `plugin-ci-github` 87 → 98 (+11, включно з двома незалежними round-trip-тестами й негативними тестами для обох kind-ів), `wasm-plugin-parity-ci-github.test.mjs` + `fix-toolchain_cache.test.mjs` разом 28/28 без змін, `conftest verify` по `plugins/ci-github/rules/ga/` — 88/88 без регресій, `.rego` не торкнуто. ### Fixed - `runWasmConcernFix` (`crates/rules-napi/src/lib.rs`) — продовження фіксу #513 для НЕ-full-scope концернів. #513 додав full-scope glob-обхід, коли жодна violation не несе `file` і концерн задекларований `scope: full` (напр. `js/check`) — але лишив вужчу гілку `_ => Vec::new()` для решти випадків: концерн з `scope: per-file` (чи взагалі не знайдений у `describe()`), чиї РЕАЛЬНІ (непорожні) violations теж не несуть `file`, і далі тихо отримував порожній `FixRequest::files` — той самий мовчазний батч, що спричинив #513, лише для іншого класу концернів. Живий кандидат: `python/ruff` (`crates/plugin-lang-python/src/lib.rs::detect_ruff`) — `scope: per-file`, але одна агрегована діагностика на ВЕСЬ прогін `ruff check`/`ruff format --check`, без `file`; порт реального фіксера цього концерну сьогодні впирався б у мовчазну порожню поведінку (наразі — сумісна заглушка, `fix()` повертає порожній план, тож нікого не зупиняло на практиці). WIT-контракт (`crates/rules-contract/wit/world.wit`, `record diagnostic` / `record fix-request`) МОВЧИТЬ про цей випадок — не забороняє `file: none` для `per-file`-концерну (агрегована діагностика — легітимний `detect()`-результат) і не визначає, як host має будувати `fix-request.files`, коли жодна діагностика його не назвала. Це НЕ підтверджена помилка контракту концерну (схема дозволяє `file: none`) і НЕ підтверджений безпечний legit-кейс: full-scope glob-обхід тут небезпечний — для `per-file`-концерну він розширив би fix ЗА МЕЖІ дельти, порушивши сам per-file-контракт. Тож замість вгадувати (мовчки чи full-scope), `run_wasm_concern_fix` тепер падає з типізованою помилкою (`ambiguous_empty_fix_batch_err`) — називає концерн, причину (жодна діагностика не несе `file`) і що зробити (концерн має класти `file`, або WIT потребує явного розширення під агреговані per-file fix-и — не вирішено тут, задокументовано відкритим питанням у самому `world.wit`). Порожні `diagnostics` (нема violations — нема що фіксити) лишаються `Vec::new()` без помилки — двозначність лише коли violations є, а `file` немає в жодній. JS-бік (`npm/scripts/lib/lint-surface/run-fix.mjs::computeWasmFixPlan`) ловить цю помилку (той самий graceful-degrade контур, що вже несе `loadT0Patterns` для битого `fix-.mjs` і `runConcernDetector` для wasm-падіння під час `detect()`): `console.error` з причиною, деградація до порожнього плану — concern далі йде в ladder, падіння ОДНОГО concern-а не вбиває весь fix-прогін (`runWasmConcernFix` кличеться в циклі по концернах). Регресія: три робочі шляхи не зачеплені — file-scoped фіксери (`test/no-bun-test-import`, `js/doc_comments` — несуть `diagnostic.file`, гілка `target_files.is_empty()` для них узагалі не виконується) і full-scope `js/check` (`scope: full` і далі йде `build_full_scope_files`, як і раніше). Нові тести `crates/rules-napi/src/lib.rs` (4, проти реальної guest-фікстури `crates/test-plugin-guest`, нова `scope: full` fix-фікстура `test/guest-fix-full-scope`) + наявні `wasm-fix-e2e.test.mjs` (5/5) і `wasm-plugin-parity.test.mjs` (260/260, без регресій) підтверджують усі три шляхи разом з новою помилкою. ## [1.103.2] - 2026-08-28 ### Changed - test(wasm-plugin-parity): закрити прогалину покриття fix-мосту для чотирьох файл-скоуп T0-фіксерів (`rust/cargo_mutants_config`, `rust/doc_comments`, `python/doc_comments`, `ga/workflows`) — §2.49 `docs/plans/2026-08-05-open-questions-register.md`. §2.46/§2.48 самі задокументували межу свого покриття: parity-гейти rust/python/ci-github тестували лише `detect`-парність, а fix-цикл замикався через `fix-.mjs` (транзитивний JS-канон) НАПРЯМУ — реальний `Guest::fix` цих чотирьох концернів (усі поза `NATIVE_FIXES`, у проді диспетчеризуються виключно через `wasmFixPattern` → `runWasmConcernFix`, `crates/rules-napi`) жоден тест через сам napi-міст не проганяв. Той самий клас прогалини, що §2.47 (`js/check`) уже закрила для lang-js і там-таки знайшла реальний баг у мості (затирання конфігів для whole-batch концернів). Додано 4 нові сценарії (усі — повний цикл `runWasmConcern` → `runWasmConcernFix` → застосування едитів → повторний `runWasmConcern` чистий) у `wasm-plugin-parity-rust.test.mjs` (2), `wasm-plugin-parity-python.test.mjs` (1), `wasm-plugin-parity-ci-github.test.mjs` (1, перший fix-цикл цього файлу взагалі). Кожен сценарій доведено здатним падати — тимчасовий злам відповідної guest-фікс-функції (`fix_doc_comments`/`fix_cargo_mutants_config`/`prefix_bunx_n_command`) дав червоний тест, повернення — знову зелений. Додатково емпірично підтверджено, що жоден із чотирьох НЕ whole-batch (на відміну від `js/check`): тимчасове видалення full-scope fallback `run_wasm_concern_fix` (та сама мутація, що відтворює баг §2.47) валить РІВНО ті самі 2 тести `js/check`, усі 4 нові сценарії лишаються зеленими (400/402 по чотирьох parity-файлах разом). Whole-batch-аудит: серед шести портованих T0-фіксерів `js/check` лишається ЄДИНИМ, чиї діагностики ніколи не несуть `diagnostic.file`. Знайдено кандидатів НА РИЗИК для майбутніх портів (fix ще не портований, детект уже без `file`): `rust/check` (усі діагностики через `plain_violation`) і файл-less-гілки самого `ga/workflows` (`simple_fail`/`push_tool_unavailable`) — задокументовано в реєстрі як застереження для наступного порту. Продакшн-код не змінено (усі red-проби відкочено, `git diff` по `crates/` порожній). ## [1.103.1] - 2026-08-27 ### Changed - chore(release): синк пінів платформних napi-пакетів @7n/rules ## [1.103.0] - 2026-08-27 ### Added - `plugin-ci-github` (wasm-гість): портовано T0-фіксер `ga/workflows` — перший реальний `fn fix` цього гостя (раніше — заглушка з порожнім планом). Точний семантичний порт трьох чисто текстових T0-патернів `fix-workflows.mjs`: `addPersistCredentials` (дописує `with: persist-credentials: false` у `actions/checkout`-кроки), `removePathsGlobs` (прибирає незматчені `on.*.paths` glob-и) і `prefixBunxNCursor` (`n-rules …` → `bunx n-rules …`). На відміну від JS-канону (три окремі `T0Pattern`, застосовуються послідовно з перечитуванням файла з диска між ними), `wasmFixPattern` синтезує РІВНО один патерн на весь wasm-концерн — `fix_workflows` тому сам компонує всі три трансформери на одному буфері за один виклик. `persist-credentials`/`bare-n-rules` — вручну (`strip_prefix`/`indent_of`, той самий стиль, що `rust/toolchain_cache`), `bare-n-rules`-префікс — через вже лінкований `regex`-крейт (той самий `\b`-патерн, що детект-бік `verify_no_bare_n_cursor`, жодної нової залежності). JS-фіксер свідомо НЕ видалено — спершу парність; диспетчер `run-fix.mjs` (T0Pattern.guestFix, #509) автоматично пріоритезує гостя без жодної зміни коду. Розмір гостя: 2 574 836 → 2 590 442 байт (+15 606, 98.8% бюджету 2 621 440). Тести: cargo 87 (+22), wasm-plugin-parity-ci-github 24, conftest verify 55/55 по пʼятьох policy-теках без регресій. - `plugin-lang-js` (wasm-гість): портовано T0-фіксер `js/check` (`fix-check.mjs`) — усі три патерни (`js-check-eslint-config`, `js-check-oxlintrc`, `js-check-knip`), а не лише один. Обрано саме цей концерн через ПІДТВЕРДЖЕНЕ дублювання: `planOxlintrcFix` structurally дзеркалить `verifyOxlintRcAgainstCanonical`, вже портовану раніше, — фіксер і verify тепер поділяють ту саму трійку спецключів (`rules`/`ignorePatterns`/`jsPlugins`) в одному крейті. Канон `knip-canonical.json` вшито через `include_str!` (прецедент PR #508, `oxlint-canonical.json` вже був вшитий раніше) — 765 байт, анти-дрейф-тест байт-у-байт проти файлу-джерела. Розмір `.wasm` виріс на ~11 КБ (2 250 284 → 2 261 653 байт), запас до бюджету 2,5 МіБ — ~351 КБ. Побічний фікс (виявлений тестуванням через реальний napi-міст, не юніт-тестами гостя): `runWasmConcernFix` (`crates/rules-napi`) будував `FixRequest::files` ЛИШЕ з `diagnostic.file`-полів — для whole-batch концернів на кшталт `js/check`, чиї діагностики НІКОЛИ не несуть `file` (стан цілого дерева, не одного файлу), це давало ЗАВЖДИ порожній батч: фіксер писав би наосліп, затираючи наявні `eslint.config.js`/`.oxlintrc.json` дефолтним/канонічним вмістом замість хірургічного merge. Додано full-scope fallback (той самий резолв, що вже робить `run_wasm_concern` для детекту) — активується лише коли жодна діагностика не назвала конкретний файл, тож file-scoped фіксери (`test/no-bun-test-import`, `js/doc_comments`, `rust/cargo_mutants_config`) поведінки не міняють. JS-фіксер (`fix-check.mjs`) свідомо НЕ видалено — спершу парність (доказ: `wasm-plugin-parity.test.mjs`, новий блок «js/check T0-фікс», плюс гість-only `detect → fix → detect` раунд-трип у `crates/plugin-lang-js/src/lib.rs`), зняття подвійної реалізації — окрема хвиля. ## [1.102.0] - 2026-08-27 ### Added - `plugin-lang-rust`/`plugin-lang-python` (wasm-гості): портовано T0-фіксер `doc_comments` в ОБИДВА гості (третя й четверта ітерація вже відпрацьованого патерна — перша `js/doc_comments`, друга `rust/cargo_mutants_config`). `rust/doc_comments` підвищує суцільний `//`-блок до `///`/`//!` через LINE-based `data` (без UTF-16-конверсій еталона). `python/doc_comments` перетворює `#`-блок на docstring, обробляючи кілька `def`/`class` в одному файлі знизу вгору (спадання `headerEnd`), щоб вставки/видалення не зсували індекси. Обидва крейти без `serde_json` — `data` розбирається мінімальними рядковими helper-ами. JS-фіксери (`fix-doc_comments.mjs`) лишаються чинним каноном (зняття подвійної реалізації — окрема хвиля); диспетчер `run-fix.mjs` автоматично пріоритезує гостя без жодної зміни коду. ## [1.101.1] - 2026-08-27 ### Changed - sync-claude-config: детект-only PostToolUse lint-хук більше не вставляється в `.claude/settings.json` і `.codex/hooks.json` (холодний старт npx + cspell на кожен Edit/Write/apply_patch); наявні managed-записи в обох файлах активно прибираються при ресинку, а не лишаються стейлими ### Fixed - T0-dispatch (loadT0Patterns/applyT0): гість (native/wasm) і fix-.mjs більше не застосовуються двічі до того самого concern-а — applyT0 зупиняється, щойно guestFix-патерн реально торкнув файли; битий fix-.mjs тепер сигналить console.error замість мовчазного пропуску ## [1.101.0] - 2026-08-27 ### Added - `plugin-lang-rust` (wasm-гість): портовано перший T0-фіксер — `rust/cargo_mutants_config`. `Guest::fix` більше не заглушка для цього concern-а: canonical baseline `.cargo/mutants.toml` вшито `include_str!` (той самий файл, що читає `fix-cargo_mutants_config.mjs`, прецедент — вшиті `.rego` `plugin-ci-github`), з анти-дрейф-тестом, що звіряє вшитий вміст із канонічним джерелом незалежним шляхом. JS-фіксер лишається чинним каноном (зняття подвійної реалізації — окрема хвиля) ## [1.100.18] - 2026-08-27 ### Changed - chore(release): синк пінів платформних napi-пакетів @7n/rules ## [1.100.17] - 2026-08-27 ### Fixed - `mirror-parity.mjs`: `findMirrorDrift`/`listManagedMirrors` більше не плутають «дзеркало справді зовнішнє» з «канон мав би бути в задекларованому, але незарезолвленому плагіні» (напр. свіжий worktree без `bun install`) — раніше другий випадок мовчки звужував обсяг перевірки до підмножини й репортив це як «дрейфу нема»; тепер кидає помилку з переліком дзеркал і плагінів, не приховуючи дрейф серед резолвлених дзеркал ## [1.100.16] - 2026-08-27 ### Changed - `engines.bun` піднято до `>=1.4` (репо фактично вимагає 1.4); тести й фікстури `wasm-plugin-parity`/`js/check` вирівняні з новим порогом `js.package_json` ## [1.100.15] - 2026-08-27 ### Fixed - Ізольовано чотири тестові файли (graphql/tooling, check-rule-fixtures, check-empty-trees, hasura-native-parity) від Bun-розбіжності process.env ⇄ native-аддон: symlink node_modules/@7n/rules замість N_RULES_PACKAGE_ROOT у JS ## [1.100.14] - 2026-08-26 ### Changed - chore(release): синк пінів платформних napi-пакетів @7n/rules ## [1.100.13] - 2026-08-26 ### Fixed - detect.mjs: помилка «немає main.mjs» тепер підказує про відсутній npm/wasm-plugins/builtin-pins.json, коли причина невідома ## [1.100.12] - 2026-08-26 ### Fixed - parity-гейт `rules-cli lint`: реальний дельта-прогін більше не падає на однобічній нотатці делегації (`ℹ️ … делегую в JS-CLI.`) — stderr звіряється byte-exact МІНУС рівно один такий рядок, причина якого мусить бути в списку задокументованих (недокументована причина, другий рядок чи будь-який інший вивід валять тест), а САМЕ native-виконання на реальному репо гейтить новий scoped-прогін `lint adr` (native-концерн + два policy-концерни одним батчем мосту), який мусить пройти БЕЗ делегації ## [1.100.11] - 2026-08-26 ### Fixed - `k8s/manifests` більше не спрацьовує хибно на YAML-фрагментах без `apiVersion`/`kind` (шматки маніфестів для вставки) і на GitHub Actions workflow, що лежать під шляхом із сегментом `k8s` — обидва класи раніше вимагали локального обходу через `.n-rules.json` `ignore` у кожному споживчому репо ## [1.100.10] - 2026-08-26 ### Fixed - Реєстр §2.31/§2.32 (`docs/plans/2026-08-05-open-questions-register.md`): `npm/tests/integration-repo-checks.test.mjs` тепер узгоджений з живим деревом на всіх десяти `check*`. `checkGa` резолвив `toolPaths` вручну (лише `git`+`shellcheck`, попри чотири задекларованих тули `plugin-ci-github`) — замінено на продакшн-шлях `resolveWasmConcernMap`, той самий, що справжній `n-rules lint`. Три тестові файли (`npm/rules/graphql/tooling/tests/tooling.test.mjs`, `npm/tests/check-empty-trees.test.mjs`, `npm/tests/check-rule-fixtures.test.mjs`) плюс сам інтеграційний тест читали `process.env.N_RULES_PACKAGE_ROOT` напряму замість `env` з `node:process` (js-run.mdc) — виправлено. Немає зміни поведінки опублікованого пакета: усі торкнуті файли — внутрішні тести пакета `@7n/rules`. - lang-python/lang-rust (plugin-lang-python, plugin-lang-rust): мовчазний fail-open замінено видимою діагностикою у чотирьох каналах — `python/mypy`+`python/ruff` (тул недоступний у uv-середовищі → `mypy-unavailable`/`ruff-unavailable`), `python/project` (availability `pip-licenses` → `pip-licenses-unavailable`; вивід `pip-licenses` не парситься попри успішний спавн → `pip-licenses-parse-error`, знайдено понад перелік вихідного аудиту) і `rust/check` (`cargo deny --version` non-zero → `cargo-deny-unavailable`). Раніше всі чотири канали давали зелений лінт без виконаної перевірки - fix(tests): «22 правила ядра» рахує теки з main.mdc, а осиротілі теки в npm/rules/ падають окремим гардом ## [1.100.9] - 2026-08-26 ### Changed - Закрито два з чотирьох «1:1-портів» реєстру §2.27 (`docs/plans/2026-08-05-open-questions-register.md`, §2.30): `sample_secret` і `hasura_migrations` тепер консультуються з `.n-rules.json:ignore` (обгортки `walk_repo`/`walk_under_repo` замість прямого `walk_dir_raw`). **Поведінкова зміна**: приклад-файли з bare-`secret` під виключеною текою і `down.sql` під виключеною підтекою `hasura/migrations/` більше НЕ дають violation. `k8s_manifests_kubescape` лишено без змін — ignore застосований рівнем вище, при виборі k8s-коренів (`find_k8s_roots`), повторна фільтрація була б no-op. ## [1.100.8] - 2026-08-26 ### Fixed - Реанімовано чотири групи безумовно-пропущених vitest-наборів (§2.31): k8s/hasura_*, k8s/dremio_logging та php/mago_lint тепер гейтяться на ensureToolAsync (PATH → кеш → GitHub Releases) замість голого PATH-скану, тож реально виконуються в CI; test.yml збирає plugin-lang-js/-php/-ci-github wasm-компоненти й генерує npm/wasm-plugins/builtin-pins.json для lang-js, що також оживило wasm-plugin-e2e/wasm-fix-e2e/wasm-builtin-pins і поправило застарілий список концернів lang-js. integration-repo-checks.test.mjs більше не мовчить безумовним describe.skip — набір реально впав на трьох живих проблемах репозиторію (graphql/tooling, k8s/manifests, js-run/runtime), кожна тепер видима в одному зведеному expect замість прихованою за early-abort. ## [1.100.7] - 2026-08-26 ### Fixed - ga/workflows (plugin-ci-github): мовчазний fail-open замінено видимою діагностикою у двох каналах — regorus (compile/set_input/eval → `rego-engine-error`) і зовнішні тули (`actionlint`/`zizmor` не запустились → `*-unavailable`). Раніше обидва канали давали зелений лінт без виконаної перевірки; для `zizmor` це означало мовчазний пропуск security-скану workflow-ів ## [1.100.6] - 2026-08-26 ### Fixed - `rust/cargo_mutants_config` (`resolve_all_cargo_manifests`, `crates/plugin-lang-rust`) і спільна JS-утиліта `resolveAllCargoManifests`/`resolveCargoManifest` (`npm/scripts/utils/resolve-cargo-manifest.mjs`, споживач — T0-фіксер `fix-cargo_mutants_config.mjs`) тепер СИМЕТРИЧНО розкривають `*`/`**`-glob у `workspaces`-записах `package.json` замість трактувати їх як літеральний сегмент шляху — типовий `"workspaces": ["packages/*"]` більше не пропускає перевірку `.cargo/mutants.toml` для кожного пакета монорепо, і фіксер тепер здатен закрити ту саму діагностику, яку видає детектор. Латентний баг консервувався байт-у-байт заради парності з JS-детектором `rust/cargo_mutants_config/main.mjs`, якого вже видалено разом із транзитивним періодом `lang-rust`; сама утиліта-джерело бага пережила видалення детектора і мала той самий дефект окремо (§2.28) ## [1.100.5] - 2026-08-25 ### Changed - Уніфіковано поверхню обходу дерева: `rules_core::scan::walk_dir` перейменовано на `walk_dir_raw` (примітив без consumer-ignore), додано обгортки `cursor_ignore::walk_repo`/`walk_under_repo`/`walk_with_ignore_paths` — рефакторинг без зміни поведінки, закриває клас дефекту з §2.25/§2.26 (незворотні консюмер-ignore на `walk_dir(cwd, &[])`) ## [1.100.4] - 2026-08-25 ### Fixed - `resolve_per_file_scope` (резолв файлового скоупу per-file концерну в петлі `fix`) тепер читає `.n-rules.json`/`.n-cursor.json` `ignore` перед обходом дерева — автофікс більше не отримує права редагувати файли з директорій, які консюмер явно виключив (напр. `npm/schemas/vendor`) ## [1.100.3] - 2026-08-25 ### Fixed - `build_full_scope_files` (napi-хост full-scope wasm-концернів) тепер читає `.n-rules.json`/`.n-cursor.json` `ignore` перед обходом дерева — консюмер-специфічні виключення (напр. `npm/schemas/vendor`) більше не потрапляють у batch full-scope wasm-концернів усіх пʼятьох гостей ## [1.100.2] - 2026-08-25 ### Fixed - KNOWN_PLUGIN_RANGES: піни 0.x-плагінів підняті до фактично випущених ліній (lang-js ^0.27, lang-python ^0.14, lang-rust ^0.17, lang-php ^0.4) — автодетект плагінів більше не резолвить застарілі minor-лінії ## [1.100.1] - 2026-08-25 ### Changed - wasm-parity: гейт ci-github (rust/toolchain_cache, ga/workflows) звіряється зі знятим еталоном JS-канону (N_WASM_PARITY_CAPTURE), не з живим main.mjs; parity-заглушку в npm/tests/integration-repo-checks.test.mjs переведено на runWasmConcern ## [1.100.0] - 2026-08-25 ### Added - plugin-ci-github: концерн ga/workflows у нативному порті — 851 рядок Rego виконується IN-PROCESS через regorus (Microsoft), без субпроцесу conftest; плюс git ls-files, actionlint, zizmor і проба shellcheck через exec-tool. JS-канон лишається під parity-гейтом ## [1.99.0] - 2026-08-24 ### Added - plugin-ci-github: пʼятий first-party wasm-гість (перший не-lang) — концерн rust/toolchain_cache у нативному порті, 97 КБ без жодної залежності понад wit-bindgen. JS-канон лишається під parity-гейтом ## [1.98.1] - 2026-08-24 ### Changed - wasm-parity: гейт lang-php звіряється зі знятим еталоном JS-канону (N_WASM_PARITY_CAPTURE), не з живим main.mjs; додано host-тести plugin_lang_php.rs на канал «mago нерезольваний → звичайне порушення, не крах» ## [1.98.0] - 2026-08-24 ### Added - plugin-lang-php: четвертий first-party wasm-гість — усі п'ять php-концернів (tooling, composer_manifest, project, mago_fmt, mago_lint) у нативному порті; перший гість, що декларує pinned-тул (mago через ensure-tool контур). JS-канон лишається під parity-гейтом ## [1.97.1] - 2026-08-24 ### Changed - wasm-parity: гейт lang-rust звіряється зі знятим еталоном JS-канону (N_WASM_PARITY_CAPTURE), не з живим main.mjs; додано замикання T0-циклів (гість → JS-фіксер → гість) для doc_comments і cargo_mutants_config ## [1.97.0] - 2026-08-24 ### Added - plugin-lang-rust: решта трьох концернів у нативному порті — rust/check (exec-tool ланцюг cargo fmt/clippy/deny), rust/cargo_mutants_config, rust/wasm_component; шість із шести, JS-канон лишається під parity-гейтом ## [1.96.0] - 2026-08-24 ### Added - plugin-lang-rust: третій first-party wasm-гість — концерни rust/applies, rust/doc_comments, rust/workspace_root у нативному порті (JS-канон лишається, parity-гейт звіряє біт-у-біт) ### Fixed - plugin-lang-python: імʼя у python/doc_comments обрізається по ASCII, як JS-\w (ECMA-262) — Unicode-\w крейта regex захоплював кириличний хвіст (def aоблік → «aоблік» замість «a») ## [1.95.1] - 2026-08-24 ### Changed - wasm-parity: гейт lang-python звіряється зі знятим еталоном JS-канону (N_WASM_PARITY_CAPTURE), не з живим main.mjs; спільний шар еталонів винесено з lang-js-гейта у wasm-parity-golden.mjs ## [1.95.0] - 2026-08-23 ### Added - wasm-порт python/mypy та python/ruff (exec-tool) у plugin-lang-python + parity-тести ## [1.94.2] - 2026-08-23 ### Changed - feat(plugin-lang-python): другий wasm-гість + applies/tooling/doc_comments (#474); chore(release): синк пінів платформних napi-пакетів @7n/rules ## [1.94.1] - 2026-08-23 ### Changed - test(plugin-lang-js): закрити борг покриття js-run/runtime (+66 тестів) (#472) ## [1.94.0] - 2026-08-23 ### Changed - wasm-parity: гейт vue/tfm-translations та інших lang-js концернів звіряється зі знятим еталоном JS-канону (N_WASM_PARITY_CAPTURE), не з живим main.mjs ### Removed - прибрано JS-детектори кластера style/vue/bun (admin_table, gap, lint, quasar_fixes, tooling, packages, tfm-translations, layout, licensee) — логіка вже в crates/plugin-lang-js (wasm); T0-фіксери лишаються JS - Прибрано JS-фолбек кластера js/*, npm-module/*, js-run/runtime, js-bun-redis/imports, js-mssql/deps, js-bun-db/safety, js/jscpd_duplicates (main.mjs + lib-сканери) — wasm/native Rust-порт canonical, T0-фіксери лишились у JS - test/*-кластер (15 концернів): видалено JS lint-детектори (main.mjs), покриття перенесено в wasm-плагін crates/plugin-lang-js; T0-фіксери й спільні AST/утиліти лишаються JS-каноном ## [1.93.10] - 2026-08-23 ### Changed - feat(rules-core): nginx-default-tpl/template і changelog/consistency нативно (#470) ## [1.93.9] - 2026-08-23 ### Changed - chore(release): синк пінів платформних napi-пакетів @7n/rules ## [1.93.8] - 2026-08-23 ### Changed - chore(release): синк пінів платформних napi-пакетів @7n/rules ## [1.93.7] - 2026-08-23 ### Changed - text/run-shellcheck: read-only детектор портовано в rules-core (crates/rules-core/src/concerns/text_run_shellcheck.rs); main.mjs видалено, listShellScriptPaths/runShellcheckText (write-режим) перенесено у fix-run-shellcheck.mjs ## [1.93.6] - 2026-08-23 ### Changed - feat(rules-core): rego/opa_check, rego/regal, security/scan нативно (#465) ## [1.93.5] - 2026-08-23 ### Changed - feat(rules-core): rego/opa_check, rego/regal, security/scan нативно (#465) ## [1.93.4] - 2026-08-23 ### Changed - feat(rules-core): канал діагностик у native-контракті + tracked_symlink (#464); chore(release): синк пінів платформних napi-пакетів @7n/rules ## [1.93.3] - 2026-08-23 ### Changed - fix(text/cspell-fix): зняти подвійну реалізацію main.mjs + native (#462) ## [1.93.2] - 2026-08-23 ### Changed - fix(text/cspell-fix): зняти подвійну реалізацію main.mjs + native (#462); chore(release): синк пінів платформних napi-пакетів @7n/rules ## [1.93.1] - 2026-08-22 ### Changed - feat(rules-core): fix-поверхня k8s/manifests портована повністю (#460) ### Fixed - changelog presence: додано change-файл для змін у npm ## [1.93.0] - 2026-08-19 ### Added - Native-контур фіксу отримав шар T0 — детерміновані фікси перед будь-яким викликом моделі. Реєстр `NATIVE_FIXES` і диспетчер `run_concern_fix` існували давно; бракувало саме підключення до петлі, через що шість concern-ів із готовим детермінованим фіксом усе одно йшли в LLM-драбину. Тепер `hasura/migrations` закривається так: `✅ закрито детермінованим фіксом, без виклику моделі` — заборонений `down.sql` видаляється миттєво. Видалення доступне саме T0, бо в наборі інструментів моделі `delete` немає й не буде (порожній allowlist — головна гарантія цього контуру), а безпечне воно конструктивно: фікс іде у worktree, і людина бачить результат у PR. Заразом проставлено `fixability` для 13 concern-ів за результатами аудиту всіх 19 непозначених: три `structural` (`capacitor/platforms`, `k8s/kubeconform`, `k8s/hasura_httproute`) і десять `config`. Шість, що лишились без позначки, справді придатні для моделі — серед них `text/formatting`, доведений живим прогоном. - Чотири нові детерміновані T0-фікси: `abie/firebase_hosting`, `security/sample_secret`, `abie/env_dns`, `k8s/dremio_logging`. Реєстр `NATIVE_FIXES` виріс із шести до десяти — тобто десять concern-ів закриваються без жодного виклику моделі. `abie/firebase_hosting` прибирає і файли, і теку `.firebase/` — застосовувач планів навчився розрізняти файл і директорію, бо контракт має один `Delete` на все, а детектори знаходять і те, і те. Свідомо НЕ покриті гілки, де детермінованої відповіді немає: namespace-префікс у `env_dns` (з порушення видно лише вимогу-префікс, не повне очікуване значення) і відсутній цілком тег `` у `dremio_logging` (вставка потребує знати `appender-ref`). Обидві дають порожній план і перевірені окремими тестами: краще не зробити, ніж зробити навмання — T0 працює без перевірки між кроками. - `concern.json` отримав опційне поле `fixHint` — рецепт для МОДЕЛІ на випадок, коли повідомлення детектора адресоване людині. Повідомлення — елемент UX: воно радить зручну команду (`npx @7n/n ch`), але цикл `fix` виконати її не може: shell поза його набором інструментів свідомо. Для таких concern-ів єдиний наявний рецепт виявлявся забороненим, а іншого не було — модель вигоряла всю стелю ходів, не спробувавши жодного запису. Перший споживач — `changelog/presence`, єдиний concern з `fixability: code`, чиє повідомлення командне (решту таких гейт до моделі не пускає). Виміряно на локальній 26B: без підказки concern не закрився в жодному з семи прогонів, з підказкою — у трьох із шести. Решта — те, заради чого драбина має другий локальний рунг і ескалацію в хмару. Підказка має ПОКАЗУВАТИ форму файлу по рядках, а не описувати її. Перший варіант пояснював словами «frontmatter між рядками `---`» — модель обгортала цими рядками весь файл замість самого frontmatter-а: 8-9 записів за прогін і жодного успіху. Нумерований порядок рядків дав 2-3 записи і два успіхи з трьох. Кількість правок тут — показник метушні, а не старанності. ### Changed - Детектори `abie/firebase_hosting` і `security/sample_secret` кладуть шлях у машинне поле `file` (а `sample_secret` ще й номер рядка в `data.line`), як це давно робить `hasura/migrations`. Раніше весь контекст жив лише в тексті повідомлення, і T0-фіксам доводилось розбирати його назад регулярками. Наслідок для фіксів: розбір тексту зник, разом із ним — чотири регулярки й ціла гілка «номер рядка невідомий, заміни перший збіг». Тепер адреса правки або відома точно, або фікс не робить нічого: мовчазна заміна не того рядка дорожча за невиправлене порушення, бо T0 працює без перевірки між кроками. Захист від дрейфу теж чесніший: правимо рядок лише якщо він ДОСІ містить порушення — джерелом істини став сам файл, а не те, що детектор колись бачив. ### Fixed - `text/forbidden-prettier` позначено `fixability: structural` — його порушення усувається видаленням файлу, тож для LLM-драбини він не придатний. Знайдено живим прогоном: без цієї позначки concern вважався придатним для коду (дефолт, коли поле відсутнє), модель не мала чим його закрити — у наборі інструментів немає й не буде `delete` — і вигорала десятки ходів дарма. Тепер драбина не запускається взагалі: 1.6 секунди замість хвилин. Право на видалення файлів моделі свідомо НЕ додано: чинний JS-контур цей concern теж не фіксить (ні native, ні wasm, ні `fix-*.mjs`), тобто прибрати чужий `.prettierrc` — рішення людини, а не автоматики. - `--native-fix` більше не дає фальшиво-зеленого результату на per-file концернах. CLI завжди передавав порожній файловий скоуп, тож детектор такого concern-а чесно повертав «порушень немає» — навіть коли порушення були на диску. Уражені були всі три per-file концерни (`k8s/dremio_logging`, `changelog/presence`, `k8s/kubeconform`), а для `k8s/dremio_logging` це ще й означало, що його T0-фікс не викликався ЖОДНОГО разу. Тепер скоуп резолвиться з глоба `concern.json`, коли викликач не передав список файлів явно. `scope: "full"`-концерни, які обходять дерево самі, не зачеплені. Знайдено наскрізною перевіркою всіх десяти T0-фіксів — саме тим прогоном, що мав лише підтвердити роботу. ### Removed - Прибрано пін-тест `llm-lib-pin.test.mjs` разом із workspace-джерелом `@7n/llm-lib`: Rust-крейти пакета виїхали в `git.7n.ai/7n/llm-lib`, а JS-пакет заморожено на опублікованій `3.4.0` — споживачі беруть його з реєстру (smoke-check імпортів: 177/177 чисто). Тест звіряв залежність `@7n/rules` із версією workspace-копії, якої більше не існує; актуальність піна тепер веде звичайний цикл оновлення залежностей (`taze`). ## [1.92.0] - 2026-08-12 ### Added - `n-rules lint --native-fix` приймає кілька concern-ів за виклик і прогоняє їх послідовно зі спільним бюджетом найдорожчого тиру — саме так, як вимагає рішення И спеки: кеп рахується на весь прогін, а не на кожен concern окремо. Звіт друкується по кожному concern-у, код виходу — найгірший із них: успіх одного не маскує провал іншого. Помилка одного concern-а не зупиняє решту, а от невалідний формат ключа відхиляє виклик цілком. ## [1.91.0] - 2026-08-11 ### Changed - Native-контур фіксу доведений на багатофайловому порушенні живою локальною моделлю. Зміни, кожна з яких — наслідок конкретного прогону, а не здогаду: - **Схема інструмента `edit` сплощена** до одного фрагмента за виклик (`path`/`old_text`/`new_text`) замість масиву обʼєктів. Діагностика сирого tool-call-у показала, що 26B-модель плутає вкладеність і закриває `]` замість `}` — виклик виходив структурно невалідний. Після сплощення той самий прогін закрився з першого рунга й без жодного провалу парсера. - **`verify_max` за паритетом із `run-fix.mjs`**: локальній моделі одна спроба виправитись, хмарній дві (було 2 для всіх). - **`max_tokens` винесений у запит** (`N_LLM_FIX_MAX_TOKENS`) замість константи: значення, що рятує слабку модель від розгону, обрізає багатофайловий фікс на моделі з великим контекстом. - **Стеля ходів керується `N_LLM_FIX_TURN_CEILING`**. - **Звіт показує вартість кожної спроби** — скільки ходів і викликів інструментів. Без цього тюнінг стелі був би ворожінням: саме ці числа показали, що падає не бюджет, а генерація. - Схема `self_check` більше не порожній обʼєкт — одне необовʼязкове поле замість `{"properties": {}}` як захист від strict-провайдерів. ## [1.90.2] - 2026-08-11 ### Fixed - fix(lint): per-file glob doc-files виводиться з doc-files.extensions contributions — зміна .rs запускає концерн у delta-режимі й PostToolUse hook (новий опційний lint.extensionsSlot у concern.json; статичний glob — fallback, доповнений rs) ## [1.90.1] - 2026-08-10 ### Fixed - Стеля ходів native-контуру фіксу піднята з 10 до 50 — паритет із `agent-fix.mjs`, разом із тим самим env-ключем `N_LLM_FIX_TURN_CEILING` для перевизначення. Знайдено першим живим прогоном на локальній моделі: зі стелею 10 обидва рунги драбини вигоряли на `MaxTurnsError` ще до першої правки, бо модель спершу читає файл і оглядає дерево — розвідка зʼїдала весь бюджет ходів. Після підняття той самий прогін закрив порушення з першого рунга. ## [1.90.0] - 2026-08-10 ### Added - `n-rules lint --native-fix ` — власний Rust-контур фіксу (спека `2026-08-08-llm-lib-acp-only-rust-goose.md`, §3.7 клас 3) став доступним командою, а не лише з тестів: детектор `run_concern`, драбина спроб, snapshot з відкотом і collateral-veto. Прапорець — близнюк наявного `--native-detect`: опційний вмикач бінаря. Без нього `lint` без `--no-fix` і далі делегується в JS-CLI, де живе чинний fix-пайплайн, тож дефолтна поведінка не змінюється. Приймається рівно один ключ concern-а за виклик; кілька ключів — помилка, а не мовчазний вибір першого. Коди виходу за конвенцією lint-поверхні: 0 — закрито (чисто, детермінованим фіксом або спробою), 1 — порушення лишилось, 2 — помилка самого прогону. Звіт друкує всі спроби з причинами відмов, а не лише підсумок. ## [1.89.4] - 2026-08-10 ### Fixed - оновлено pin `@7n/llm-lib` до 3.2.0 (автосинк релізного трейна) ## [1.89.3] - 2026-08-09 ### Changed - chore(release): синк пінів платформних napi-пакетів @7n/rules ## [1.89.2] - 2026-08-08 ### Fixed - Wasm-порт `test/no-relative-fs-path` синхронізовано з JS-каноном щодо `symlink()`/`symlinkSync()`: перевіряється лише 2-й аргумент (шлях самого посилання на диску), бо 1-й — це ціль посилання, де відносний рядок легітимний. Parity-гейт `wasm-plugin-parity.test.mjs` доповнено двома symlink-фікстурами, які фіксують саме цю мапу (`FS_PATH_ARG_POSITIONS`). ## [1.89.1] - 2026-08-08 ### Changed - chore(release): синк пінів платформних napi-пакетів @7n/rules ## [1.89.0] - 2026-08-08 ### Changed - Концерн `js-run/runtime` переїхав з JS у wasm-компонент `lang-js/wasm-concerns` (зріз 7 контракту v3.1) — найбільший поодинокий концерн плагіна: дев'ять незалежних під-перевірок одного ключа (`jsconfig.json` при наявному `src/`, заборона `@nitra/bunyan`, фабричні імпорти підключень поза `conn`-каталогом, нейминг і експорти файлів `conn`-каталогу, `process.env`/`checkEnv`, пауза через `new Promise` + `setTimeout`, `Temporal` у Bun-рантаймі, OTEL configmap, декларація аліаса `#conn/*`). Разом із портом прибрано вакуумний виклик `conftest` у гілці `jsconfig.json`: він запускався на кожен workspace-пакет, але не міг віддати жодного порушення (канон `js_run.jsconfig` очікує `--data`, якого цей виклик не передавав). Сама структурна валідація `jsconfig.json` не втрачена — її робить окремий policy-концерн `js-run/jsconfig`, у якого `--data` формується правильно. - `k8s/manifests` — третій зріз порту в `rules-core`, після якого **весь** `lint()` концерну має native-дзеркало. Портовано kubescape-контур (`findKustomizationDirs` + `kubectl kustomize`, auto-exceptions C-0056/C-0018 для probe у `Job`/`CronJob`, користувацький `.kubescape-exceptions.json`, 5-хвилинний wall-clock ліміт із власним текстом порушення) і kustomize-резолюцію з пʼятьма залежними `validate*` (`collectResourceDescriptorsForKustomizationWalk`, `kustomizeResourceTreeHpaPdbDeploymentFlags`, `prodOverlayHpaPdbOverrideNeeds`, `kustomizationTreeHasHasuraDeployment`). Концерн у `NATIVE_CONCERNS` як і раніше **не** заведено — гейт `check-mjs-contract` вимагає, щоб у native-концерну не було `main.mjs`, тобто заведення в реєстр і видалення JS-канону є одним неподільним кроком, який чекає на порт fix-поверхні; поведінка лінту незмінна. Полагоджено дефект канону: **обидва детектори застарілих `apiVersion` не спрацьовували ніколи**. `BATCH_V1BETA1_API_VERSION_LINE_RE` і `GATEWAY_HTTPROUTE_V1BETA1_LINE_RE` — рядкові якірні регулярні вирази (`^…$` без прапорця `m`), і саме так їх застосовує T0-фікс (`rewriteLine*` — по одному рядку), але `detectBatchV1beta1InK8sYamlFiles` і `detectGatewayHttpRouteV1beta1InK8sYamlFiles` звіряли їх із **усім** текстом файла. Такий збіг можливий лише на файлі, що цілком складається з одного рядка `apiVersion: batch/v1beta1`, тобто ніколи на справжньому маніфесті: заборона `batch/v1beta1` і `gateway.networking.k8s.io/v1beta1` була мертвою, попри повідомлення, T0-патерни `fix-manifests.mjs` і розділи `manifest.mdc` / `gateway.mdc`, що обіцяють автоматичне переписування. Тепер обидва детектори звіряють regex по рядках — так само, як сусідня перевірка `kind: HTTPRoute` робила від початку. **Зміна поведінки, напрямок fail-closed:** маніфести під `k8s` із застарілими `apiVersion: batch/v1beta1` та `apiVersion: gateway.networking.k8s.io/v1beta1` у `HTTPRoute` тепер дають порушення (з fix-hint, тож `--fix` їх виправляє), а раніше мовчки проходили. ## [1.88.1] - 2026-08-07 ### Changed - chore(release): синк пінів платформних napi-пакетів @7n/rules ## [1.88.0] - 2026-08-05 ### Changed - Rust-CLI `rules-cli` розбирає argv через `clap` — одна граматика замість трьох ручних парсерів (Р11). Значення прапорців тепер приймаються в обох формах (`--root <шлях>` і `--root=<шлях>`; раніше `rename-yaml-extensions` розумів лише другу, решта команд — лише першу); прапорець без значення став помилкою розбору замість мовчазного `null`; за дубльованого прапорця береться останнє входження, а не перше. `rename-yaml-extensions` більше не ковтає невідомий аргумент мовчки — раніше друкарська помилка в прапорці тихо запускала перейменування файлів, тепер це usage-помилка (код `2`) і зʼявилась довідка `--help`; той самий код `2` тепер і в `changed-files` (був `1`). На поверхнях, які бінар ще ділить із JS-CLI (`lint`, `hook`, `ci plan`, `skill`), невідомий аргумент, як і раніше, не помилка — argv делегується в JS. Довідка `lint --help` лишилась байт-у-байт незмінною. ## [1.87.1] - 2026-08-05 ### Changed - docs(plans): реєстр — перенесення зі зрізу 6 і відновлення втраченого (#404) ## [1.87.0] - 2026-08-05 ### Changed - Ще два концерни переїхали з JS у wasm-компонент `lang-js/wasm-concerns` на поверхні `exec-tool` (зріз 6 контракту v3.1): `style/lint` (обгортка `stylelint`) і `js/jscpd_duplicates` (обгортка `jscpd`, перший реальний споживач `scratch-out` — JSON-звіт тула хост забирає з тимчасового каталогу обміну, дерево репо не мутується). Резолв тулів у `manifest.tools` навчився третьої схеми — `npm:`: бінарник шукається в `node_modules/.bin` консюмер-репо, з фолбеком на PATH. Це та сама послідовність, якою `style/lint` резолвив `stylelint` у JS. T0-фікси обох концернів лишаються JS. - `k8s/manifests` — другий зріз порту в `rules-core`. Портовано ще два з чотирьох шарів `lint()`: per-file цикл `checkK8sYamlFile` (modeline `# yaml-language-server: $schema=…`, звірка URL схеми з `apiVersion`/`kind`, виняток `HttpBackendGroup` Yandex ALB) і дві великі самодостатні `validate*` — `validateDeploymentHpaPdbAndTopology` (канон `topologySpreadConstraints`, заборона локальних `hpa.yaml`/`pdb.yaml` у `k8s/…/base/`, повний контракт sibling-каталогу `components/`) та `validateNetworkPoliciesForK8sWorkloads`. Концерн у `NATIVE_CONCERNS` як і раніше **не** заведено — він неподільний для диспатчу і зайде туди разом із двома шарами, що лишились (kubescape-контур і kustomize-резолюція з пʼятьма залежними `validate*`), тож поведінка лінту незмінна. Полагоджено латентний дефект канону: `readDocsByKindInDir` обходив каталог у порядку `readdir`, тобто в порядку файлової системи (APFS впорядковує, ext4 віддає hash-порядок). Обхід став відсортованим. Спостережуваної зміни немає — обидва виклики передають фільтр за іменем файла, тож збігається щонайбільше один файл; сортування прибирає ту саму міну, на якій уже спіткнулись `k8s/hasura_configmap` і звірка імені ConfigMap. ## [1.86.0] - 2026-08-05 ### Added - Правило security: новий концерн tracked_symlink — repo-wide detector відстежених git-ом symlink-ів, що вказують за межі репозиторію (абсолютний шлях або відносний з виходом вгору за корінь). Ловить рецидив кшталту target -> /private/tmp/... (коміт 867ff7b3): у чужому клоні такий symlink робить збірку й тести недетермінованими, а .gitignore не рятує, бо ignore не покриває вже відстежені шляхи. Фіксу немає — detector друкує готову команду git rm --cached. ## [1.85.0] - 2026-08-05 ### Added - Контракт плагінів `n-rules:plugin` — мінор `3.1.0`: новий host-імпорт `exec-tool` (`run-tool` плюс `cwd`, накладені змінні середовища й двобічний scratch-обмін файлами) і слот `scratch-dir@1` на чинному `host-context`. Зміна additive: плагін, зібраний під v3.0, лінкується й працює без повторної збірки. Резолв тулів у `manifest.tools` навчився схем (рішення В спеки v3.1): `path:` резолвиться по PATH замість github-релізу; відсутність схеми — як було (`pinned:`). Перший концерн на новій поверхні — `bun/licensee`: детекція ліцензій npm-залежностей переїхала з JS у wasm-компонент `lang-js/wasm-concerns` (T0-фікс лишається JS). Спавнений тул виконується з правами хоста, поза wasm-пісочницею — межа довіри плагіна це його пін, не пісочниця. ### Fixed - регенерує `.cursor/rules/n-rust.mdc` (дрейф із каноном після #392) і піднімає `KNOWN_PLUGIN_RANGES['@7n/rules-lang-rust']` до `^0.16` слідом за релізом плагіна ## [1.84.0] - 2026-08-05 ### Changed - `k8s/manifests` — перший зріз порту в `rules-core` плюс полагоджений дефект канону. Портовано два з чотирьох шарів `lint()`: rego-контур (`runAllK8sRego` — усі девʼять namespace-ів, класифікатор fix-підказок, гілка `--data`/`templateData` у `conftest`) і чотири самодостатні cross-file перевірки (`assertNoForbiddenK8sDevPaths`, `validateSvcYamlAndSvcHlPairs`, `validateKustomizationPathRefsExistOnDisk`, `validateKustomizationIncludesSvcHlWithSvc`, `validateConfigMapNameMatchesDeployment`). Сам концерн у `NATIVE_CONCERNS` **не** заведено — він неподільний для диспатчу і зайде туди разом із рештою шарів, тож поведінка лінту незмінна. **Зміна поведінки:** звірка `metadata.name` ConfigMap із Deployment (`k8s/base/configmap.yaml`) більше не спирається на «перший `kind: Deployment` за порядком `readdir`». Обхід файлів каталогу став відсортованим (детермінований на будь-якій файловій системі — раніше macOS і Linux-раннер CI могли давати різний вислід), і серед **усіх** Deployment каталогу беруться лише ті, що посилаються рівно на один ConfigMap. Наслідок — fail-closed: каталог, де перший Deployment ConfigMap не вживає, раніше мовчки випадав із перевірки, тепер перевіряється. Репозиторії з одним Deployment на каталог змін не побачать. ## [1.83.3] - 2026-08-05 ### Changed - wasm-плагін lang-js: зріз невживаних feature-ів залежностей — артефакт 2 492 361 → 2 168 151 байт (запас до бюджету 2,5 MB зріс із 7,5 KiB до 324 KiB) ## [1.83.2] - 2026-08-05 ### Changed - fix(lint): clippy sort_by_key і env з node:process у k8s-parity (#388) ## [1.83.1] - 2026-08-05 ### Changed - fix(lint): clippy sort_by_key і env з node:process у k8s-parity (#388); chore(release): синк пінів платформних napi-пакетів @7n/rules ## [1.83.0] - 2026-08-05 ### Added - `js/doc_comments` виконується у wasm-плагіні `lang-js/wasm-concerns` (36-та контрибуція, зріз 4 контракту v3.1 — `docs/specs/2026-08-01-plugin-contract-v31-surfaces.md`): портовано і `detect`, і T0-фікс (`export fix`) — розривати їх не можна, бо весь T0-контур концерну тримається на `violation.data.{start,end}`. Офсети конвертуються на межі WIT в обидва боки: `detect` віддає їх у **UTF-16** code units (як napi-`oxc-parser`, а не в байтах crate-`oxc_parser`), `fix` переводить назад у байти перед зрізом UTF-8-рядка; parity-фікстури з кирилицею й емодзі поза BMP тримають це живим. JS-канон (`main.mjs` + `fix-doc_comments.mjs`) лишається fallback-ом за чинним конвеєром skip-not-crash - wasm-плагін lang-js: у контрибуцію додано `js/doc_comments` разом із T0-фіксером (зріз 4 контракту v3.1) — останній портовний концерн `lang-js`. Офсети napi-`oxc-parser` (UTF-16) конвертуються у байтові для crate-`oxc_parser` і назад; покрито фікстурами з не-ASCII вмістом, де наївний порт розходиться. Артефакт 2 492 361 байт — запас до бюджету 2,5 MB лише 7,5 KiB ### Changed - rule-level гейт `applies` став **декларативним**: замість виконуваного модуля `/applies/main.mjs` правило оголошує предикат у полі `main.json:applies` (міні-DSL на 4 оператори — `pathExists`, `globMatches`, `jsonFieldContains`, комбінатор `any`; аварійний клапан `"applies": "dynamic"` лишає гейт на JS). Три чинні гейти (`lang-python/python`, `lang-rust/rust`, `lang-js/npm-module`) мігровано, їхній JS видалено. Дискавері перестало бути виконанням коду, тож native `ci plan` більше НЕ делегується в JS через саму лише наявність `applies` — гейт обчислюється в Rust (`rules-core::rule_applies`). Сумісність для сторонніх правил: `main.json` без поля `applies`, але з файлом `applies/main.mjs`, читається як `dynamic` — поведінка не змінюється. ## [1.82.1] - 2026-08-04 ### Changed - chore(release): синк пінів платформних napi-пакетів @7n/rules ## [1.82.0] - 2026-08-04 ### Changed - `k8s/hasura_configmap` і `k8s/hasura_httproute` виконуються нативно в `rules-core` (28-й і 29-й native-концерни), JS-канон видалено: обидва `main.mjs`, їхні тести й доки, а разом із ними — ядра `validateHasuraConfigMapRemoteSchemaPermissions`, `validateHasuraHttpRouteCanon`, `collectHasuraDeploymentsAndHttpRoutes` та супутні хелпери з `npm/rules/k8s/manifests/main.mjs` (−189 рядків цього файлу). Порти підключені через registry `NATIVE_CONCERNS`, тобто працюють і в native-шляху `rules-cli`, і в чинному JS-оркестраторі — нової napi-поверхні не заведено (Р12 спеки `docs/specs/2026-07-30-rules-v2-rust-core-migration.md`). Rego лишається авторитетним для пер-документної валідації: новий `rules_core::conftest` — native-порт `runConftestBatch` (один спавн `conftest` на пару полісі/namespace, розбір `--output json`), спільна база для решти rego-концернів кластера; вбудовані полісі резолвить новий `rules_core::rules_package` (`node_modules/@7n/rules` → `npm/` вгору від cwd, override `N_RULES_PACKAGE_ROOT`). **Зміна поведінки 1:** гейт `k8s/hasura_configmap` більше не бере «перший `kind: Deployment` каталогу» — він питає, чи є в каталозі **хоч один** Hasura-Deployment. Раніше ConfigMap Hasura мовчки випадав із перевірки, якщо поруч лежав ще один Deployment і саме він трапився першим у `readdir`; той самий репозиторій міг давати різний вислід на macOS і на Linux-раннері (порядок файлової системи). Тепер під валідацію потрапляє строго більше ConfigMap — напрямок fail-closed; сусідній `k8s/hasura_httproute` цей самий гейт завжди робив правильно. **Зміна поведінки 2:** коли `conftest` не встановлено, а спарені файли є, концерн падає fail-closed із per-OS install-підказкою замість авто-встановлення через `ensureToolAsync` — рівно чинний режим `N_CURSOR_NO_AUTO_INSTALL`, той самий контракт, що вже зафіксував `k8s/kubeconform` ## [1.81.0] - 2026-08-04 ### Added - Команда `n-rules tools ensure [<тул>…] [--check]` і `n-rules tools list [--json]` у Rust-CLI — явне добування зовнішніх CLI-тулів замість авто-встановлення всередині лінту (компенсація за fail-closed `k8s/kubeconform` з PR #378; мінідизайн `docs/specs/2026-08-04-tools-ensure-design.md`). Реєстр тулів переїхав із коду в декларативний `npm/scripts/lib/tools.json` — **єдине джерело правди** для обох мов: JS `TOOLS` (`ensure-tool.mjs`) будується з нього, Rust (`rules_core::tool_registry`) вбудовує той самий файл на збірці; версії, як і раніше, в `tool-pins.json`. `brew`/`scoop` виконуються нативно під тим самим міжпроцесним локом, що бере JS (`ensure-tool/`), а шлях GitHub Release делегується в чинний `ensureToolAsync` через зворотний міст (нова операція `ensureTool`, версія протоколу мосту 1 → 2) — другої реалізації завантаження не заводиться, поки JS-`ensureTool` усе одно потрібен тим споживачам, які ще не портовані. Крос-мовний дрейф гейтить `tools-registry-parity.test.mjs` (розгорнуті `asset`/`binPath` на закріпленій версії, тобто й мапінг архітектури) ## [1.80.1] - 2026-08-04 ### Changed - release: @7n/llm-lib@2.14.16, @7n/rules@1.80.0 ## [1.80.0] - 2026-08-04 ### Changed - `k8s/kubeconform` виконується нативно в `rules-core` (27-й native-концерн), JS-канон `npm/rules/k8s/kubeconform/main.mjs` видалено. Порт підключений через registry `NATIVE_CONCERNS`, тобто працює й у native-шляху `rules-cli lint --no-fix --native-detect` (батч-сегмент), і в чинному JS-оркестраторі — нової napi-поверхні не заведено (Р12 спеки `docs/specs/2026-07-30-rules-v2-rust-core-migration.md`: міст інвертовано, napi більше не росте). Резолв зовнішнього тула — новий `rules_core::tool_resolve` на крейті `which` (PATH → керований кеш бінарників), без HTTP-клієнта в ядрі. **Зміна поведінки:** коли `kubeconform` не встановлено, а цілі для валідації є, концерн падає fail-closed із per-OS install-підказкою замість авто-встановлення через `ensureTool` — це рівно чинний режим `N_CURSOR_NO_AUTO_INSTALL`; добування тулів переїжджає в окрему команду `tools ensure`. Мовчазний пропуск був би fail-open: на ефемерному CI-раннері schema-валідація просто зникла б ### Fixed - Loader napi-аддона (`npm/scripts/lib/native.mjs`) більше не перекриває локальну збірку опублікованим platform-підпакетом: у вихідному дереві репо (маркер `crates/rules-napi/Cargo.toml`) `target/release|debug` резолвиться ПЕРЕД `@7n/rules--`, у встановленому пакеті порядок лишається старим (підпакет — авторитетне джерело). До фіксу крок `cargo build -p rules-napi` у `.github/workflows/test.yml` збирав аддон, якого loader не брав, тож native-тести мовчки перевіряли попередню збірку. Клас закритий гейтом `npm/scripts/lib/tests/native-env-gate.test.mjs` ## [1.79.2] - 2026-08-04 ### Fixed - Гейти `Lint JS` і `Lint repo-wide` знову зелені на `main` (були червоні щонайменше з 31.07): 37 порушень `js/eslint` (jsdoc, `no-empty-function`, `consistent-function-scoping`, `require-await`, `cognitive-complexity`, невалідний JSON-сніпет у `wasm-plugin/SKILL.md`, `workflow_dispatch:` без `{}` у `npm-publish.yml`), 6 клонів `js/jscpd_duplicates` і 2 clippy-помилки `plugin-lang-js`. Реальні дефекти полагоджено, а не заглушено: тест-хелпер `write` винесено з 28 copy-paste-копій concern-модулів у `crates/rules-core/src/concerns/test_support.rs`, спільний хвіст збирачів workspace-коренів — у `workspaces::sorted_workspace_roots`. Два клони лишились винятками в `.jscpd.json` із обґрунтуванням: `wasm-plugin/template/build.sh` — сировина скіла, байт-у-байт копія за задумом; `llm-lib/tests/native-packages.test.mjs` — дзеркало тесту незалежно публікованого пакета, спільний хелпер створив би нову звʼязність між `@7n/llm-lib` і `@7n/rules` ## [1.79.1] - 2026-08-03 ### Changed - chore(release): синк пінів платформних napi-пакетів @7n/rules ## [1.79.0] - 2026-08-03 ### Added - wasm-плагін lang-js: у контрибуцію додано `test/stryker_config` і `js/check` (зрізи 1–2 контракту плагінів v3.1) — канон oxlint вшито в компонент через `include_str!`, поверхні до package-асетів НЕ додано. Артефакт 2 417 693 → 2 473 332 байт, запас до бюджету 2,5 MB — 144,6 KiB - Rust-CLI `rules-cli lint --no-fix --native-detect` (або `N_RULES_NATIVE_LINT=1`) виконує lint сам: план, диспатч, сортування, рендер і exit-код рахує `rules-core`, а концерни з `main.mjs`/policy виконує ОДИН дочірній node-процес на прогін (зворотний міст поверх unix-сокета, `npm/scripts/lib/lint-surface/bridge-host.mjs`); шлях не дефолтний і чесно делегується в JS-CLI там, де паритет недосяжний (`--path`, fix-пайплайн, wasm-концерни) ### Changed - План міграції v2 (`docs/specs/2026-07-30-rules-v2-rust-core-migration.md`): зафіксовано рішення Р11 «порт ≠ дзеркало реалізації» — мета міграції це ефективне використання Rust-екосистеми, а не 1:1-переклад JS; зрілий крейт має пріоритет над ручним портом, JS-обходи обмежень Node/Bun у Rust не відтворюються, паритет поведінковий і доводиться тестами, побайтова рівність лишається тільки на зовнішньо спостережуваних поверхнях - План міграції v2: зафіксовано рішення Р12 «інверсія мосту» — `rules-cli` стає основним виконавцем `lint`, а непортовані JS-концерни виконуються як його дочірні процеси; нова native-функціональність у napi більше не заводиться (чинні 25 експортів лишаються backend-ом публічних JS-фасадів і виводяться з останнім JS-концерном). Ревізовано рішення про `clap` у фазі 8: підстава для ручного парсингу знята рішенням Р11 ### Fixed - `ci_artifacts`/`tools` у `crates/plugin-lang-js/plugin.toml` і в шаблоні скіла `wasm-plugin` (`template/plugin.toml.tpl`) стояли ПІСЛЯ заголовка `[[concerns]]`, тож TOML читав їх як поля останнього концерну, а не як top-level поля маніфеста — довідник розходився і з `rules_contract::manifest::Manifest`, і з тим, що повертає `describe()`. Обидва файли виправлено (поля перенесено до `id`/`version`/`world_version`/`domains`), а анти-дрейф-гейт `plugin_toml_concern_keys_match_describe` переведено з порядкового сканування рядків на справжній TOML-парсинг і розширено на `tools`/`ci_artifacts`: попередній примітивний парсер цей клас дрейфу не бачив у принципі — рядок присутній, і байдуже, в якій таблиці він опинився ## [1.78.0] - 2026-08-01 ### Added - Батч 9 §3.5.5: `vue/packages` портовано у wasm-компонент lang-js (33 контрибуції; size-budget 2.5 MB дотримано — 2.42 MB, +22 KB за батч). Порт byte-exact: workspace-обхід, `src/vite-env.d.ts`/`jsconfig.json`/`vite.config.*`, AST-скан явних value-імпортів з `vue` і Node-нативних імпортів у SFC через той самий `oxc_parser`, скан згадок `esbuild` з тим самим лімітом 30. Інвентаризацію решти JS-канону lang-js перевірено наново: із 39 концернів з `export lint` придатних до порту більше немає — пʼять обгорток зовнішніх тулів (`bun/licensee`, `style/lint`, `js/eslint`, `js/jscpd_duplicates`, `js-run/runtime`), `js/knip` (programmatic API, поза `run-tool`), `js/check` і `test/stryker_config` (canonical-data з пакета плюс запис на диск під час detect), `js/doc_comments` (UTF-16-офсети в `data` + порт T0-фіксера). §3.5.5 вичерпано: далі потрібне розширення контракту або декларація тулів - Rust-CLI `rules-cli` обробляє `hook` нативно там, де гілка не доходить до `detectAll` (валідація режиму й PostToolUse-payload, з якого не дістається жодного файлу — 2 мс замість 38–54 мс); решта чесно делегується в JS із переграним stdin, бо детектори лишаються JS-модулями ## [1.77.0] - 2026-08-01 ### Added - Rust CLI `rules-cli` виконує `skill list` і `rename-yaml-extensions` повністю нативно (зріз 2 фази 8), byte-exact із JS-еквівалентом — включно зі станом файлової системи після мутуючої команди - Батч 7 §3.5.5: кластер `npm-module/rule_meta|skill_meta|header_doc_pointer|package_structure` і AST-концерн `js/dep-policy` портовано у wasm-компонент lang-js (28 контрибуцій; size-budget 2.5 MB дотримано — 2.27 MB), `plugin.toml` синхронізовано з `describe()` і закрито новим гейт-тестом, а в спільному `extract_import_sources` виправлено прихований порядок (статичні імпорти мають передувати walk-знахідкам, як у JS-каноні) - Батч 8 §3.5.5: `bun/layout`, `style/tooling`, `test/sandbox-aware-test` і `test/vitest-api-conventions` портовано у wasm-компонент lang-js (32 контрибуції; size-budget 2.5 MB дотримано — 2.28 MB, +9,6 KB за батч). Решту JS-канону lang-js розібрано за класом причин: чотири концерни — обгортки навколо запуску зовнішнього тула (`licensee`/`stylelint`/`eslint`/`jscpd`), `js/knip` — programmatic API, `js-run/runtime` — conftest-підпроцес, `js/check` і `test/stryker_config` — потребують вшитих canonical-data файлів, `js/doc_comments` — окремого рішення про UTF-16-офсети; `vue/packages` лишається наступним кандидатом - Rust-CLI `rules-cli` виконує `ci plan` нативно у репозиторіях без плагінів (читання `.n-rules.json` і `concern.json`, активність доменів і всі формати виводу — у `rules-core`), а там, де паритет недосяжний без резолву плагінів, чесно делегує команду в JS ### Fixed - Порядок рядків у native-виводі lint більше не розходиться з JS-каноном: сортування порушень перейшло з байтового порівняння на наближення ICU root collation — підкреслення тепер перед дефісом, а велика латинська літера після малої, як у `localeCompare` - Реліз більше не затирає платформні піни: синк lock перейшов з `bun update` (він переписує маніфести — з кореня дописував фантомні залежності, з теки воркспейса затирав піни неінстальовних платформ на порожній рядок) на `bun install`, який маніфести не чіпає; піни `@7n/rules-linux-x64` і `@7n/rules-win32-x64` відновлено, додано тест-гейт консистентності пінів ## [1.76.0] - 2026-08-01 ### Added - Фаза 8 зріз 1 (спека 2026-08-01-rules-cli-phase8-skeleton): скелет Rust CLI `crates/rules-cli` — нативні `lint --help` і plumbing `changed-files` поверх rules-core, транзитна делегація решти команд у JS-entrypoint (bun/node, argv-passthrough) і byte-exact parity-гейт `rules-cli-parity.test.mjs` - Батч 6 §3.5.5: `test/storybook-vitest-config` і три rego-концерни `js-bun-db|js-bun-redis|js-mssql/package_json` портовано у wasm-компонент lang-js (23 контрибуції; size-budget 2.5 MB дотримано — 2.24 MB). Блокер батчу 5 (абсолютний `data.vitestConfigPath`, який споживає JS-фіксер) знято новим additive host-імпортом `host-context: func(slot) -> option` зі слотом `repo-root@1` — розширення WIT-`record` зламало б ABI усіх запінених guest-ів, окремий import лінкується лише тим, хто його референсить. Rego-порти звірені байт-у-байт із живим conftest-прогоном через `evaluatePolicyConcern`; `js-bun-db/connection`, `js-bun-db/pg_format_identifiers`, `js-mssql/mssql-tvp` — `.mdc`-only guidance без детектора, портувати нема чого ### Fixed - Усунуто корінь повторюваних падінь CI `lockfile had changes, but lockfile is frozen`: кроки синку платформних пінів у релізі запускали `bun update` з кореня репо, через що bun дописував платформні пакети в кореневі `dependencies` — ця правка не потрапляла в коміт, а отруєний `bun.lock` потрапляв; тепер `bun update` виконується з теки воркспейса, що декларує ці залежності ## [1.75.0] - 2026-08-01 ### Added - Fix-контур wasm-плагінів contract v3: host-виклик `export fix` з валідацією планів (safe-path, ліміти розміру), napi `runWasmConcernFix`, синтетичний `wasm-fix:*` T0Pattern у fix-конвеєрі, злиття дзеркала `FixPlan`/`FileEdit` (rules-core → rules-contract) і пілот `test/no-bun-test-import` — фікс портовано в guest, JS `fix-no-bun-test-import.mjs` видалено - Батч 5 §3.5.5: storybook-сімейство (`test/storybook-{scope,hygiene,page-coverage,scaffold,ci}`) портовано у wasm-компонент lang-js — спільна scope-детекція `collectInScopeVuePackages` відтворена в batch-просторі full-scope мосту, hygiene-імпорти через oxc, byte-exact parity з JS-каноном (19 контрибуцій; size-budget 2.5 MB дотримано — 2.21 MB); tool-wrapper-и `js/eslint`/`js/knip` свідомо лишаються на JS (програмні API ESLint/knip і node_modules-резолюція поза run-tool контрактом) ## [1.74.1] - 2026-08-01 ### Fixed - Розблоковано синк git-пінів платформних napi-пакетів: гейт release-кроку більше не вимагає успіху `@7n/rules-win32-x64` (до bootstrap-публікації він падає на кожному релізі, через що піни застрягли на 1.66.0 при registry 1.73.0); піни й bun.lock синхронізовано разово вручну ## [1.74.0] - 2026-08-01 ### Added - Батч 4 §3.5.5: `js-bun-redis/imports`, `js-mssql/deps` і `js-bun-db/safety` портовано на повноцінний AST через oxc_parser у wasm-компоненті lang-js (заміна regex-groundwork, byte-exact parity з JS-каноном, 14 контрибуцій; size-budget 2.5 MB дотримано — 2.12 MB) ## [1.73.0] - 2026-08-01 ### Changed - Фаза 7 v2 (T2, п'ятий зріз): native fix plans розгорнуто з пілота на решту T0-фіксів, що портуються — `tauri/gitignore_target` (splice відсутніх ignore-entries з `violation.data.missing`), `tauri/linux_deps` (вставка apt-кроку перед `dtolnay/rust-toolchain` / дописування канонічних пакетів зі збереженням shell-continuation), `tauri/cargo_mutants_config` (canonical baseline / append-блок лише відсутніх ключів після rescan `src-tauri/`-каталогів) і `hasura/internal_urls` (rewrite `service`/`namespace` сегментів `HASURA_GRAPHQL_ENDPOINT` проти `hasura/k8s/base/{svc-hl,namespace}.yaml` зі збереженням `cluster`/`port`); реєстр `NATIVE_FIXES` тепер шість ключів, чотири JS fix-файли видалені, їхні тести переведені на dispatch-рівень (`loadT0Patterns`/`runNativeConcernFix`) з rollback-контракт-тестами через реальний `snapshot.rollback()`. `tauri/release` (format-preserving YAML-редагування + git-субпроцес) і `image-avif/avif_generation` (генерація AVIF зовнішнім `npx @nitra/minify-image`) свідомо лишаються JS — причини задокументовано в doc-коменті `crates/rules-core/src/concerns/fix.rs`. ## [1.72.0] - 2026-08-01 ### Added - Фаза 7 v2 (T1, четвертий зріз): native fix-домен для builtin-концернів — пілот на двох T0-фіксах. `run_concern_fix` у `crates/rules-core/src/concerns/fix.rs` будує декларативний `FixPlan`/`FileEdit`/`WriteFile` (форма дзеркалить `rules-contract::fix` БЕЗ залежності на цей крейт — план злиття задокументовано в doc-коменті модуля, за зразком diagnostics DTO фази 5) для `doc-files/marksman_config` (копіювання canonical baseline — тепер вбудований у бінарник через `include_str!`) і `hasura/migrations` (видалення заборонених `down.sql`); реєстр `NATIVE_FIXES`. napi-біндінг `runNativeConcernFix` (`crates/rules-napi/src/lib.rs`) повертає план або `null` для ключів поза реєстром. `run-fix.mjs`: `loadT0Patterns` синтезує T0Pattern-обгортку над native-планом (`test()` = «план непорожній», `apply()` застосовує `write`/`delete`-операції з `ctx.recordWrite` ПЕРЕД кожною мутацією — rollback-контракт) замість dynamic import() JS fix-файлу; два JS T0-фікси (`fix-marksman_config.mjs`, `fix-migrations.mjs`) видалені, їхні тести переведені на native dispatch. **Зміна семантики**: install-sanity-guard старої JS-версії marksman («canonical baseline відсутній на диску — перевстанови @7n/rules») недосяжний у native-фіксі — baseline вшитий у бінарник на етапі компіляції, тож клас помилки «baseline відсутній» структурно неможливий для native-шляху. Свідома зміна поведінки зламаної інсталяції, задокументована в `fix.rs` і в оновленому тесті `marksman_config.test.mjs`. - Перші AST-концерни у wasm (батч 3 §3.5.5 за AST-стратегією): `js/utils_imports` і `test/no-relative-fs-path` через oxc_parser у guest-компоненті (пін =0.137.0 синхронно з npm oxc-parser + mirror-версійний тест; size-budget 2.5 MB дотримано — 1.92 MB) ## [1.71.0] - 2026-07-31 ### Added - Фаза §3.5.5 v2, задача Q2 батч 2: ще два lang-js concern-и у `crates/plugin-lang-js` (`test/no-console-store-restore`, `test/no-bun-test-import`) — маніфест плагіна тепер декларує девʼять контрибуцій. Справжній 1:1 порт JS-регекс-детекторів, з T0-фіксом `fix-no-bun-test-import.mjs`, який лишається JS і напряму споживає wasm-violations — перевірено живим смок-тестом. Golden-тести (`crates/rules-plugin-host/tests/plugin_lang_js.rs`) і JS⇄wasm parity-тест (`npm/scripts/lib/lint-surface/tests/wasm-plugin-parity.test.mjs`) розширені на обидва концерни. Три додаткові концерни (`js-bun-redis/imports`, `js-bun-db/safety`, `js-mssql/deps`) — JS-оригінали побудовані на справжньому oxc-parser AST, не на regex; спроба regex-наближення НЕ пройшла parity-гейт для контрибуції (рішення оркестратора: byte-inexact вивід недопустимий для concern-а, що shadow-ить живу JS-реалізацію). Їхні detect-функції й unit-тести лишаються в `crates/plugin-lang-js/src/lib.rs` як groundwork під майбутнє справжнє AST-рішення, БЕЗ контрибуції в `describe()`/`plugin.toml`. `npm/skills/wasm-plugin/SKILL.md` доповнено підрозділами про AST-based (oxc-parser) JS-концерни (апроксимація допустима лише БЕЗ контрибуції) і про перевірку T0-фіксів, що лишаються JS поверх wasm-детектора. - Фаза 7 v2 (R2, третій зріз): batch-виконавець builtin-native concern-ів — суцільні прогони `NATIVE_CONCERNS`-items у `detectAll`-плані виконуються ОДНИМ native-викликом (`run_concerns_batch` у `crates/rules-core/src/concerns/batch.rs`, napi-біндінг `runNativeConcernsBatch` у `crates/rules-napi/src/lib.rs` із синхронним `onProgress`-колбеком, без `ThreadsafeFunction`) замість N окремих `runNativeConcern`-викликів через napi-межу. `run-detectors.mjs` (`partitionPlanIntoSegments`/`runNativeSegmentSync`) партиціонує послідовний план на native-batch-сегменти й single-сегменти (wasm/policy/main.mjs) — progress-репортинг і `DetectorError`-семантика (формат повідомлення, зупинка на першій помилці) відтворені один-в-один із чинним per-item шляхом. Конкурентний режим (`N_RULES_LINT_CONCURRENCY>1`) свідомо лишається per-item. Диференційний parity-тест (мікс builtin-native + JS-концернів, той самий чинний per-item шлях у concurrent-режимі як референс) і тест error-семантики батчу. ## [1.70.0] - 2026-07-31 ### Added - `plugin-lang-js` (задача Q1 батч 1): порт пʼяти JS-концернів у native/wasm — `test/vitest-config-pool-forks`, `test/no-process-chdir`, `style/admin_table`, `style/quasar_fixes`, `test/location` (усі full-scope, whole-batch, 1:1 порт reason/message); маніфест і `plugin.toml` тепер декларують сім контрибуцій разом із чинними `vue/tfm-translations`/`style/gap`; golden-тести `plugin_lang_js.rs` і parity-тест `wasm-plugin-parity.test.mjs` покривають усі сім; JS-канон (`plugins/lang-js/rules/**/main.mjs`) не видалено. - Фаза 7 v2 (R1, другий зріз): sort/render/exit-code контур lint-оркестрації (`sortViolations`/`renderViolations`/похідний exit-code `detectAll`) портовано в `rules-core` (`crates/rules-core/src/lint_render.rs`) з native-біндінгами `renderViolations`/`sortAndRenderViolations` (комбінований виклик — сортує, рендерить і рахує exit-code за один hop через napi-межу); `run-detectors.mjs` і `render.mjs` делегують у native, JS-реалізації видалено. Diff-parity гейт проти замороженої копії старого JS-алгоритму на синтетичних фікстурах (колізії ключів сортування, українські повідомлення, відсутній `file`, warn-severity, `data.line`). ## [1.69.0] - 2026-07-31 ### Added - Вбудовані first-party wasm-піни (задача O1 фази 6 v2, рішення Н): `npm/wasm-plugins/` доставляє `.wasm` first-party плагінів (`plugin-lang-js`) прямо в пакеті `@7n/rules` — `builtin-pins.json` (name → file+sha256, третє й найнижче пріоритетне джерело `wasmPlugins`, перекривається записом `.n-rules.json` консюмера) читає `wasm-plugins.mjs` поряд із собою; `npm/scripts/build-wasm-plugins.mjs` — локальна dev-петля й той самий CI-крок `npm-publish.yml` (build-native, ubuntu-рядок); `vue/tfm-translations`/`style/gap` тепер резолвляться через builtin-таблицю без ручного піна в `.n-rules.json` консюмера. - Фаза 7 v2 (P1, перший зріз): plan-контур lint-оркестрації (`buildPlan` + п'ять builders: scoped/scopedDelta/repoWide/full/delta, `planConcernForDelta`, picomatch-паритетний glob-матчер) портовано в `rules-core` (`crates/rules-core/src/lint_plan.rs`) з native-біндінгами `buildLintPlan`/ `matchLintGlobs`; `run-detectors.mjs` делегує обчислення плану в native (JS лишає дискавері concern.json, capability- і applies-фільтри — межа задокументована в doc-коментарі `lint_plan` модуля). Diff-parity гейт проти замороженої копії старого picomatch-алгоритму на синтетичних і реальних glob-фікстурах. ## [1.68.0] - 2026-07-31 ### Added - run-tool контур і перший плагін фази 6 v2: host виконує задекларовані tools через ensure-tool-резолв (typed-помилки, таймаут із kill процес-групи); маніфест concerns → contribution зі scope+glob; full-scope міст будує batch через native scan; `plugin-lang-js` (tfm-translations + gap) створений за скілом wasm-plugin — пілот виведено ## [1.67.0] - 2026-07-31 ### Added - Платформна матриця native-аддона `rules-core` розширена на win32-x64 (рішення О, §3.4a `docs/specs/2026-07-31-plugin-contract-v3-wasm-component.md`): новий підпакет `@7n/rules-win32-x64`, `win32-x64-msvc`-суфікс і `.dll`-гілка (без `lib`-префікса) у `npm/scripts/lib/native.mjs`, третій рядок build-native матриці `npm-publish.yml` (windows-latest, лише rules-napi — llm-lib v1-межа не розширюється), гейт пінів і release-publish синк/publish-кроки для трьох rules-платформ. Перша публікація `@7n/rules-win32-x64` через OIDC неможлива (пакет ще не існує в registry) — потрібен ручний bootstrap-publish перед тим, як trusted publisher зможе підхопити подальші релізи (той самий канон, що й для darwin-arm64/linux-x64). - Канонічні піни wasm-плагінів (фаза 6 v2): форма `{name, url, sha256}` у `wasmPlugins` з завантаженням у кеш `~/.cache/@7n/rules/plugins/`, sha256-верифікацією (skip-not-crash при mismatch) і атомарним записом; dev-форма `{name, path}` — лише поза CI - Скіл `wasm-plugin` (фаза 6 v2, рішення І): LLM-флоу авторингу wasm-плагінів contract v3 — scaffold від шаблонів → wasip2-збірка → golden-тести через plugin-host → publish із sha256-піном; детермінований CI-смок ганяє той самий конвеєр без LLM ### Changed - PURE-фінал native rule engine (фаза 5 v2): `adr/hooks`, `capacitor/platforms`, `image-avif/avif_generation` у `rules-core` (native-реєстр — 26); `main.mjs` цих трьох concern-ів видалено, `fix-avif_generation.mjs` став самодостатнім (власна копія read-only AVIF-скану замість імпорту з видаленого `main.mjs`) ### Fixed - js-run/runtime: у `npm/scripts/lib/lint-surface/tests/wasm-plugin-e2e.test.mjs` замінено прямий `process.env.N_RULES_PLUGIN_CACHE_DIR` на `env` з `node:process`. ## [1.66.0] - 2026-07-31 ### Added - Пілот wasm-плагінів (фаза 6 v2, contract v3): секція `wasmPlugins` у `.n-rules.json` (dev-форма піна `{name, path}`), dispatch wasm-концернів через embedded wasmtime-host у lint-прогоні зі skip-not-crash; пілотний компонент `vue/tfm-translations` доводить parity з JS-реалізацією ### Changed - YAML-кластер ч.2 native rule engine (фаза 5 v2): `hasura/internal_urls`, `text/formatting`, `tauri/release` у `rules-core` разом зі спільним `gha-workflow` helper-модулем (парсинг GitHub Actions workflow); native-реєстр — 19 - Фінальний важкий батч PURE ч.1 native rule engine (фаза 5 v2): `tauri/updater`, `tauri/tool_surface`, `security/trufflehog`, `changelog/presence` у `rules-core` разом зі спільними helper-портами (`template_subset::check_text_subset`, `package_manifest::get_monorepo_project_root_dirs`, `change_file::read_change_files`); native-реєстр — 23 ## [1.65.0] - 2026-07-31 ### Changed - YAML-кластер ч.1 native rule engine (фаза 5 v2): abie-трійка `hc_pairing`/`ua_node_selector`/`ua_http_route` у `rules-core` разом із портами yaml/k8s-tree/kustomization-patches/overlay-paths/http-route helpers (native-реєстр — 16); мультидокументний YAML через serde_yaml ### Fixed - git-reconcile тепер відсіює semantic obsolete переноси до PR і детально пояснює збережені worktree. ## [1.64.0] - 2026-07-31 ### Changed - Пілот native rule engine (фаза 5 v2): diagnostics DTO і три core-концерни (`text/forbidden-prettier`, `security/sample_secret`, `k8s/dremio_logging`) виконуються в `rules-core`; dispatch за Rust-реєстром `listNativeConcerns` перед резолвом `main.mjs`; версія DTO-контракту → 2 - Батч 2 native rule engine (фаза 5 v2): ще шість core-концернів у `rules-core` — `rego/tooling`, `doc-files/marksman_config`, `abie/firebase_hosting`, `abie/env_dns`, `hasura/migrations`, `image-compress/package_setup` (native-реєстр — 9); install-sanity-guard baseline перенесено в T0-фікс marksman_config із дружнім повідомленням - TOML-кластер native rule engine (фаза 5 v2): `tauri/cargo_mutants_config`, `tauri/gitignore_target`, `tauri/linux_deps`, `tauri/core_test_isolation` у `rules-core` (native-реєстр — 13) разом із портами helpers `cargo-workspace`/`workspaces`/`findSrcTauriDirs`; T0-фікси tauri зроблені самодостатніми ## [1.63.0] - 2026-07-30 ### Changed - Filesystem scan через native (фаза 4a v2): `walkDir` делегує у `rules-core` (ignore-крейт) із семантикою globby (вкладені `.gitignore`, dot-файли, симлінки, fail-safe) — зафіксовано диференційним parity-тестом; порядок результатів тепер детермінований (відсортований) ## [1.62.1] - 2026-07-30 ### Removed - видалено невикористаний модуль walk-cache.mjs (0 runtime-споживачів; policy-lint-adapter.mjs передає new Map() напряму) ## [1.62.0] - 2026-07-30 ### Changed - Енумерація changed files через native (фаза 3 v2): `collectChangedFiles`/`collectChangedFilesSince` делегують у `rules-core` (porcelain-межа всередині крейта), фільтр worktree-чекаутів — у Rust із mirror-тестом еквівалентності до JS-реалізації walkDir ## [1.61.0] - 2026-07-30 ### Fixed - тести auto-rules і package_knowledge резолвлять плагінні каталоги через пакетні specifier-и замість відносних шляхів — Stryker dry-run у sandbox більше не втрачає плагінні правила і не падає, розблоковано lint test coverage-gate ## [1.60.0] - 2026-07-30 ### Changed - Worktree lifecycle через native mt-core (фаза 2 v2): `auto-worktree` створює/прибирає worktree прямими викликами `rules-core` → `mt-core` (git-dep `nitra/mt-rust`) замість spawn зовнішнього `mt` CLI; санітизація імені — канонічна `mt_core::sanitize` ## [1.59.2] - 2026-07-30 ### Fixed - Виправлено публікацію platform-пакетів native-аддона: fail-closed registry-гейт добудовує і публікує `@7n/rules-darwin-arm64`/`@7n/rules-linux-x64`, якщо їх немає в registry (1.59.0/1.59.1 вийшли без них — native addon був недоступний споживачам) ## [1.59.1] - 2026-07-30 ### Changed - Додано `mago` (carthage-software/mago) у реєстр `ensure-tool` — PHP-тулчейн для нового `@7n/rules-lang-php` (mago format/lint/analyze); підтримано releases без `v`-префікса в тегу (`entry.tagPrefix`) — mago тегується як `1.45.0`, не `v1.45.0`. Оновлено сумісний range `@7n/rules-lang-php` у `KNOWN_PLUGIN_RANGES` (`^0.2` → `^0.3`). ## [1.59.0] - 2026-07-30 ### Added - release-smoke: black-box перевірка ОПУБЛІКОВАНОГО npm-набору (bun add з реєстру + version/range reconciliation) після кожного npm-publish ### Changed - Додано підтримку native-аддонів для darwin-arm64 та linux-x64 - chore(release): синк пінів платформних napi-пакетів @7n/llm-lib ### Fixed - KNOWN_PLUGIN_RANGES: підняти застарілі minor-лінії lang-плагінів (lang-js ^0.25, lang-python ^0.12, lang-rust ^0.15) — автоінсталяція знову ставить актуальні сумісні релізи замість старих minor - post-tool-use-check: stderr-writer інжектується в runPostToolUseCheckCli — тест error-шляху більше не ллє фейкову помилку в stderr vitest-прогону ## [1.58.4] - 2026-07-30 ### Fixed - оновлено pin `@7n/llm-lib` до 2.13.9 (автосинк релізного трейна) ## [1.58.3] - 2026-07-30 ### Fixed - git-reconcile: контрактні тести JS boundary — transport failure ACP приходить у `callRunner` структурованою помилкою (infrastructure failure без max retry), batch не зависає ## [1.58.2] - 2026-07-30 ### Fixed - очікування GitHub checks і remaining summary у git-reconcile ## [1.58.1] - 2026-07-30 ### Fixed - Уніфіковано LLM model resolution у execution consumers та оновлено native addon для env-selector policy. - Doc-files більше не обриває генерацію великих документів за timeout-ом і показує heartbeat очікування. ## [1.58.0] - 2026-07-30 ### Added - ci4: додано resolver package knowledge domains і schema knowledge graph v1 - Додано fail-closed loader knowledge plugin adapters - ci4: додано evidence-backed expected overlay і deterministic gap engine - Додано protected zones і atomic package knowledge publication - Додано детермінований planner semantic chunks для package knowledge - ci4: додано structured LLM claims map/reduce з fail-closed coverage і cache - Додано deterministic package knowledge Markdown renderer з privacy-safe topic projections. - Збережено stable package knowledge topic identity та protected zones під час однозначних rename/move; split і merge тепер блокуються explicit migration plan. - ci4: додано golden corpus для Changeability, Gap і projection quality gates package knowledge. - Додано automatic evidence-backed Expected ingestion з protected zones, scoped accepted ADR/spec і active JS/TS test assertions для package knowledge. - Додано parser-backed active test expectation evidence для JS, Rust, Python і PHP package knowledge domains. - ci4: додає strict entailment gate для evidence-backed implemented і expected claims. - ci4: додано deterministic ingestion package-owned config, schema evidence та API contracts. - ci4: runner додає package-owned config і contract fragments до package knowledge candidate. - ci4: інтегрує strict evidence entailment gate у package knowledge runner. - ci4: додає evidence-backed semantic claims для package-owned config і contract artifacts. - ci4: fail-closed виявляє потрібні language extensions до вибору knowledge adapters. - ci4: runner блокує відсутній language adapter і підтримує contract-only package domains. ### Changed - Додано foundation для package-level knowledge graph: детерміновані canonical ID, provenance та fail-closed нормалізацію language fragments. - ci4: перетворює package knowledge на evidence-backed business та architecture AS-IS fragments. - ci4: уніфікує taxonomy Implemented і Expected claims та додає declaration evidence для кожної semantic unit. - ci4: спільно використовує domain path і parser-derived call-edge projection у package knowledge adapters. - doc-files: поглинає CI4 package knowledge, Marksman і VSCode tooling; legacy rule id ci4 автоматично мігрує до doc-files. ### Fixed - ci4: atomic publisher прибирає stale generated package-knowledge pages без видалення legacy docs. - ci4: package knowledge claims обмежують evidence межами chunk та виконують dependency waves fail-closed. - ci4: автоматично зіставляє expected та implemented claims перед gap evaluation. - ci4: runner автоматично зіставляє expected та implemented claims перед gap render. - Виправлено quality gates для structured package knowledge та мовних extractor-ів. - ci4: стабілізує Expected mapping ladder та coverage package-knowledge gates. - ci4: завершує package knowledge pipeline — розділяє runner на fail-closed stages, уніфікує test config language plugins і закриває coverage/doc quality gates. - ci4: додає повні JSDoc контракти для structured sources і language knowledge extractor-ів. ## [1.57.8] - 2026-07-30 ### Changed - release: @7n/rules@1.57.7 ## [1.57.7] - 2026-07-30 ### Fixed - Герметичні tool-dependent тести для чистих CI-раннерів (ensure-tool cache isolation, GNU sed/tr Cyrillic portability, cold-cache timeouts) ## [1.57.6] - 2026-07-30 ### Fixed - git-reconcile перевіряє native mt contract і прибирає partial worktree після несумісного create ## [1.57.5] - 2026-07-29 ### Fixed - resolveModel-виклики переведено на tier-контракт ('min') після уніфікації model resolution (#291) — лагодить 32 фейли adr/hooks, docgen-*, cspell-fix ## [1.57.4] - 2026-07-29 ### Fixed - оновлено pin `@7n/llm-lib` до 2.13.3 (автосинк релізного трейна) ## [1.57.3] - 2026-07-29 ### Changed - LLM consumers переведено на universal model resolver; ACP-виклики без tier дозволено лише в explicit interactive mode, legacy Claude ACP shim видалено. ## [1.57.2] - 2026-07-29 ### Fixed - release: реліз `@7n/llm-lib` без `@7n/rules` тепер форсить patch-реліз rules із автосинком exact-pin `@7n/llm-lib` (рекурентний дрейф llm-lib-pin зник); resolveCmd — чистий JS-скан PATH без субпроцесу which (EAGAIN-флейки run-shellcheck під повним прогоном) ## [1.57.1] - 2026-07-29 ### Changed - feat(llm-lib): v0.2.3 — pi-тіри на локальні моделі (оновлене рішення З.1) ## [1.57.0] - 2026-07-29 ### Changed - Уніфікація adr-normalize та test/coverage classify() на batch-хвилі submitBatch: кожна LLM-стадія — один виклик на всі незалежні items замість послідовного циклу (спека 2026-07-27-batch-local-avg-real-batches, кластер E) - Додано taze-diff для порівняння залежностей маніфестів та readJsonOrNull ### Fixed - Синхронізовано pin @7n/llm-lib з актуальною workspace-версією (2.12.3) — CI release lock-крок раніше не оновив npm/package.json - оновлено LLM runtime pin ## [1.56.0] - 2026-07-29 ### Added - Спільний тестовий канон ci.artifact@1 дескрипторів (describeCiArtifactDescriptors) для мовних плагінів — usable з @7n/rules-lang-php і @7n/rules-lang-js ### Changed - SKILL doc-aggregate: формулювання про кодові розширення тепер посилається на doc-files.extensions замість хардкод-переліку (як doc-files SKILL) ### Fixed - git-reconcile інвентаризує untracked stash, валідовує conflict-aware intent, безпечно очищає absorbed/duplicate stash і звітує фактичний залишок sources ## [1.55.3] - 2026-07-29 ### Changed - Git-reconcile ancestry-aware групує local branch із tracking upstream без фізичного fast-forward перед аналізом ## [1.55.2] - 2026-07-29 ### Changed - Nested Composer workspace detection: `KNOWN_LANG_PLUGINS.php.maxDepth` 0 → 2, авто-детект правила `php` тепер бачить вкладені `composer.json` (`services/api/composer.json`, `backend/composer.json`) ## [1.55.1] - 2026-07-29 ### Fixed - acp: create_session тепер завжди повертає реальну помилку handshake (напр. auth cursor-agent), а taze не повторює той самий провалений ACP-виклик по кожному major-пакету ## [1.55.0] - 2026-07-29 ### Added - doc-files batch-шлях (T8, `'comment+behavior'`/повний конвеєр) тепер хвильовий (`docgen-wave-batch`): секції → critique → refine → best-of-2 → judge одним `submitBatch`-викликом на хвилю замість one-shot-промпта на файл — та сама якість, що й послідовний `generateDoc`, без per-file await. Помилка обов'язкового виклику валить лише свій файл. ### Fixed - npm: skill/rule docs — замінено приклади голого 'bun test' на 'bun run test' (npm/package.json#scripts.test = vitest run; bare bun test обходить це й ганяє несумісний нативний Bun test runner) ## [1.54.3] - 2026-07-29 ### Fixed - Git-reconcile відсіює вже опубліковані release entries, перевіряє final `bun.lock`, не виносить agent transcript у PR, коректно порівнює CI baseline і прибирає лише безпечні obsolete worktree ## [1.54.2] - 2026-07-29 ### Changed - Міграція worktree-інтеграції на native CLI mt ## [1.54.1] - 2026-07-29 ### Changed - release: @7n/llm-lib@2.12.1, @7n/rules@1.54.0, @7n/rules-lang-js@0.23.4, @7n/rules-lang-python@0.11.3, @7n/rules-lang-rust@0.14.2 ## [1.54.0] - 2026-07-29 ### Changed - fix(ci): resolve repository lint findings ### Fixed - image-compress: T0-autofixer fix-check.mjs runs @nitra/minify-image via bunx instead of npx — matches the read-only detector fix (v4 uses Bun.Image, a bun-only global) ## [1.53.0] - 2026-07-28 ### Changed - oxfmtrc: canonical trailingComma=none, arrowParens=avoid ### Fixed - template-deep-merge: оновлювати елемент масиву (name/uses) on-place при drift замість дублювання (steps з тим самим name у workflow-фіксерах) - Уточнено діагностичні коментарі `glob-compat.mjs`: crash `yield* … is not async iterable` (#203) корелює з тим, чи зовнішній `n-rules` викликаний через `bun x`, а не з ОС/Bun-версією; задокументовано, що `bun x <локальна-devDependency>` не застосовує `patchedDependencies`. - buildDetectPlan: застосовувати rule-level applies-гейт (filterByRuleApplies), як у detectAll - image-compress/check: run @nitra/minify-image via bun instead of npx/Node ## [1.52.2] - 2026-07-27 ### Fixed - KNOWN_PLUGIN_RANGES оновлено на сумісні з plugin API v2 лінії (ci ^2, lang-js ^0.23, lang-python ^0.11, lang-rust ^0.14, lang-php ^0.2) — автоматична інсталяція більше не тягне legacy-плагіни, які новий core виключає зі slot graph ## [1.52.1] - 2026-07-27 ### Fixed - Тести `runCli` детерміновані під `bun run --bun vitest`: reset `process.exitCode` явним `0` замість `undefined` (Bun ігнорує присвоєння `undefined`, і код протікав між тестами) + перевірка успішного виходу через аргумент `reallyExit` ## [1.52.0] - 2026-07-27 ### Changed - Universal typed slot bus (plugin API v2, phase 1): resolveSlotGraph/getSlotContributions/getSlotConsumers/loadSlotConsumer у npm/scripts/lib/plugin-slots.mjs, envelope validation і path-безпека для slots.provides/consumes, PLUGIN_API_VERSION 1→2, machine-readable plugin-manifest.json schema. ## [1.51.0] - 2026-07-27 ### Added - doc-files/docgen-files-batch: `defaultLocalProviders()` перенесено в `@7n/llm-lib/local-providers` — batch-шлях тепер конфігурує і omlx, і litellm одночасно замість лише omlx ### Fixed - doc-files/docgen-gen, release: переформулювання у docs/main.md і docs/release.md для проходження cspell (repo-wide text-lint fix); .cspell.json: додано rebuildable/rollups до словника (npm/CHANGELOG.md не редагується вручну) ## [1.50.2] - 2026-07-27 ### Fixed - тести: детермінізм і сумісність з обома раннерами (vitest, bun test) — mirror-parity (регенеровані дзеркала npm-module/vue + гард на невстановлені плагіни), ensure-tool під bun test (захоплення оригіналів до моків, синхронна фабрика, afterAll-відновлення mock.module — прибирає протікання withLock у run-standard-lint), docgen-gen judge-тести без залежності від ambient N_CLOUD_MIN_MODEL, skills-хелпери n-rules-cli з явним root-параметром ## [1.50.1] - 2026-07-27 ### Changed - Описи release PR із `.changes/` та lockfile тепер відокремлюють product intent від фактичного runtime diff. ## [1.50.0] - 2026-07-27 ### Added - doc-files без LLM рендерить test-сценарії та повністю прокоментовані JS, Rust і Python файли, а для коротких comments додає лише відсутню «Поведінку» ### Fixed - Прискорено k8s full lint і додано live статус черги ## [1.49.26] - 2026-07-27 ### Fixed - gate incompatible plugin API version and pin first-party plugin installs to a compatible semver range ## [1.49.25] - 2026-07-27 ### Fixed - Збережено --path scope у doc-files fixer ## [1.49.24] - 2026-07-27 ### Changed - git-reconcile формує PR descriptions із пріоритетом бізнес-контексту та архітектури за validated final diff ## [1.49.23] - 2026-07-27 ### Fixed - Treat reconcile diffs containing only release entries as patch-equivalent ## [1.49.22] - 2026-07-27 ### Fixed - Retry initial PR check discovery and prune rebuildable forensic dependencies ## [1.49.21] - 2026-07-27 ### Fixed - v8r: validate VS Code extension recommendations with the local catalog ## [1.49.20] - 2026-07-27 ### Fixed - Allow committed branch changes and keep empty PR check rollups fail-closed ## [1.49.19] - 2026-07-27 ### Fixed - Pin @7n/rules to llm-lib with aligned native addon metadata ## [1.49.18] - 2026-07-27 ### Fixed - Preserve independently verified coverage test batches through concern rollback ## [1.49.17] - 2026-07-27 ### Fixed - Keep git-reconcile progress live and PR readiness fail-closed ## [1.49.16] - 2026-07-27 ### Fixed - Обмежено npm-module репозиторіями з npm publisher topology ## [1.49.15] - 2026-07-27 ### Fixed - refresh canonical mutation results after generated coverage tests ## [1.49.14] - 2026-07-27 ### Changed - release: @7n/rules@1.49.9 ## [1.49.13] - 2026-07-26 ### Fixed - Виправлено фактичний шлях worktree, setup failure і spawnSync-діагностику в git-reconcile - pass coverage mutation verdict feedback to the next ladder rung ## [1.49.12] - 2026-07-26 ### Fixed - Git-reconcile отримав ANSI-free progress, heartbeat, canonical fixer pass і bounded parallel PR jobs. ## [1.49.11] - 2026-07-26 ### Fixed - Додано окремий 180-секундний cloud budget для survived-mutant coverage batch і deferred решти batch-ів ## [1.49.10] - 2026-07-26 ### Fixed - Зареєстровано схему для .kubescape-exceptions.json у каталозі v8r - Поважати .n-rules.json:ignore у full-скані v8r ## [1.49.9] - 2026-07-26 ### Changed - Add configurable Git delta policy ## [1.49.8] - 2026-07-26 ### Changed - release: @7n/llm-lib@2.9.6, @7n/rules@1.49.7 ## [1.49.7] - 2026-07-26 ### Fixed - Усунено порожні PR, помилкові empty cherry-pick, неповний cleanup aliases і зайві LLM-виклики в `git-reconcile`. ## [1.49.6] - 2026-07-26 ### Fixed - Дроблено oversized source-file coverage mutants на ізольовані групи по 20. ## [1.49.5] - 2026-07-26 ### Fixed - Додано безпечну telemetry batch verdict для coverage timeout-ів. ## [1.49.4] - 2026-07-26 ### Fixed - Додано безпечну telemetry batch verdict для coverage timeout-ів. ## [1.49.3] - 2026-07-26 ### Changed - `n-git-reconcile` починає bounded LLM-кроки на `min`, переходить на `max` лише після валідної відповіді з validation failure, захищає detached worktree за OID, порівнює tests із baseline `origin/main`, запускає doc-files/lint лише для змінених code directories, безпечно пропускає empty cherry-pick, ізолює nested `npx`, повертає non-zero для неповного triage і показує точний фазовий progress. ## [1.49.2] - 2026-07-26 ### Fixed - @7n/rules синхронізує точну версію @7n/llm-lib під час спільного release. ## [1.49.1] - 2026-07-25 ### Added - Додано JS-оркестрований skill `n-git-reconcile` для аналізу гілок, worktree та stash і перенесення корисних змін у готові PR. CI smoke-check використовує завантажений Linux native addon до release, тому перевіряє native-залежні CLI-модулі в тому самому runtime, що й publish. ### Fixed - Виправлено profile генерації тестів для survived Stryker-мутантів ## [1.49.0] - 2026-07-25 ### Added - Додано JS-оркестрований skill `n-git-reconcile` для аналізу гілок, worktree та stash і перенесення корисних змін у готові PR. CI smoke-check використовує завантажений Linux native addon до release, тому перевіряє native-залежні CLI-модулі в тому самому runtime, що й publish. ### Changed - Rust-крейти перейменовано: llm-cascade → llm-lib, llm-cascade-napi → llm-lib-napi, CascadeError → LlmError; napi-артефакти llm-lib-napi.`triple`.node; git-споживачам — dependency-alias llm-cascade = { package = "llm-lib" } - n-taze: callRunner для cursor/codex передає tier 'avg' у runAcpAgent — модель тіру замість персонального CLI-конфіга (паритет з pi-гілкою) - changelog presence: додано change-файл для змін у npm - doc-files: генерація N файлів одним 2b-batch (submitBatch @7n/llm-lib) з per-item ізоляцією помилок; фолбек на послідовний шлях без native-аддона чи з deadlineAt ### Fixed - changelog consistency: додано change-файл для змін у npm/rules/changelog - scanGlob: захист від Bun.Glob#scan(), що повертає Promise (self-hosted Linux Bun 1.3.14) — детектори не валять весь lint-прогін - Виправлено profile генерації тестів для survived Stryker-мутантів ## [1.48.2] - 2026-07-24 ### Fixed - n-rules.js CLI dispatch guarded behind isRunAsCli — testable без сайд-ефектів на import ## [1.48.1] - 2026-07-24 ### Fixed - lint --full: self-upgrade devDependency відкладено до ПІСЛЯ worktree-ізоляції, не забруднює дерево перед dirty-гейтом - js/eslint detector: relative-шлях від oxlint резолвиться проти cwd перед відносним обчисленням — усуває '..'-шлях і DetectorError у --full поза .worktrees/ ## [1.48.0] - 2026-07-24 ### Added - концерн coverage правила test: гейт покриття/мутаційки як lint-детектор (--no-fix = CI-гейт), CoverageProvider порт у plugin-api (spec 2026-07-22 absorb-7n-test) - coverage: спільні lib manifest-roots/lcov, подовжений full-таймаут для мутаційного тестування (×4), пілот classify (0.7) у цьому репо ### Changed - doc_comments rollout: header-JSDoc у vitest.config (T0 promote) - doc_comments rollout: header-JSDoc у vitest.config (T0 promote) - doc_comments rollout: header-JSDoc у vitest.config (T0 promote) - doc_comments rollout: header-JSDoc у vitest.config (T0 promote) - doc_comments rollout: header/export JSDoc у конфігах demo - doc_comments rollout: header-JSDoc у vitest.config ## [1.47.1] - 2026-07-23 ### Fixed - doc-files: явна діагностика замість тихого 0 кандидатів, коли задекларований плагін (.n-rules.json) не встановлений у node_modules ## [1.47.0] - 2026-07-23 ### Added - концерн coverage правила test: гейт покриття/мутаційки як lint-детектор (--no-fix = CI-гейт), CoverageProvider порт у plugin-api (spec 2026-07-22 absorb-7n-test) - coverage: спільні lib manifest-roots/lcov, подовжений full-таймаут для мутаційного тестування (×4), пілот classify (0.7) у цьому репо ### Changed - doc_comments rollout: header-JSDoc у vitest.config (T0 promote) - doc_comments rollout: header-JSDoc у vitest.config (T0 promote) - doc_comments rollout: header-JSDoc у vitest.config (T0 promote) - doc_comments rollout: header-JSDoc у vitest.config (T0 promote) - doc_comments rollout: header/export JSDoc у конфігах demo - doc_comments rollout: header-JSDoc у vitest.config ## [1.46.0] - 2026-07-23 ### Added - концерн coverage правила test: гейт покриття/мутаційки як lint-детектор (--no-fix = CI-гейт), CoverageProvider порт у plugin-api (spec 2026-07-22 absorb-7n-test) - coverage: спільні lib manifest-roots/lcov, подовжений full-таймаут для мутаційного тестування (×4), пілот classify (0.7) у цьому репо ### Changed - doc_comments rollout: header-JSDoc у vitest.config (T0 promote) - doc_comments rollout: header-JSDoc у vitest.config (T0 promote) - doc_comments rollout: header-JSDoc у vitest.config (T0 promote) - doc_comments rollout: header-JSDoc у vitest.config (T0 promote) - doc_comments rollout: header/export JSDoc у конфігах demo - doc_comments rollout: header-JSDoc у vitest.config ## [1.45.0] - 2026-07-23 ### Added - концерн coverage правила test: гейт покриття/мутаційки як lint-детектор (--no-fix = CI-гейт), CoverageProvider порт у plugin-api (spec 2026-07-22 absorb-7n-test) ### Changed - doc_comments rollout: header-JSDoc у vitest.config (T0 promote) - doc_comments rollout: header-JSDoc у vitest.config (T0 promote) - doc_comments rollout: header-JSDoc у vitest.config (T0 promote) - doc_comments rollout: header-JSDoc у vitest.config (T0 promote) - doc_comments rollout: header/export JSDoc у конфігах demo - doc_comments rollout: header-JSDoc у vitest.config ## [1.44.1] - 2026-07-23 ### Changed - worktree-only скіли (n-lint/n-taze/n-adr-normalize): preflight і ensureRunningInWorktree визнають .claude/worktrees/ (harness Claude Code) як вже ізольований worktree — не пропонують створювати вкладене .worktrees/ дерево ## [1.44.0] - 2026-07-22 ### Added - концерн coverage правила test: гейт покриття/мутаційки як lint-детектор (--no-fix = CI-гейт), CoverageProvider порт у plugin-api (spec 2026-07-22 absorb-7n-test) ### Changed - doc_comments rollout: header-JSDoc у vitest.config (T0 promote) - doc_comments rollout: header-JSDoc у vitest.config (T0 promote) - doc_comments rollout: header-JSDoc у vitest.config (T0 promote) - doc_comments rollout: header-JSDoc у vitest.config (T0 promote) - doc_comments rollout: header/export JSDoc у конфігах demo - doc_comments rollout: header-JSDoc у vitest.config ## [1.43.1] - 2026-07-22 ### Fixed - Storybook (правило `storybook`): виправлення хвилі 2a за результатами живого пілота app-скафолда на `gt`. (1) `.storybook/main.js` app-варіанту більше НЕ знімає `vite-plugin-pages` у `viteFinal` — знімання ламало `storybook build` глобально через непідтримуваний ``-блок (`scaffold/template/app-main.js`, `APP_MAIN_JS_MARKERS`). (2) Storybook vitest-проєкт app-пакетів отримує ВЛАСНІ `quasar()`/`AutoImport()`/`Pages()`-плагіни замість успадкованого урізаного unit-конфіга (нові `vitest-config/template/app-storybook-project-entry.js` і `vitest.config.app.baseline.mjs`, type-aware вибір у `fix-vitest-config.mjs`, нові маркер-перевірки в `main.mjs`/`adopt/main.mjs`). (3) `storybook/hygiene` (undeclared-import і sass-variables) тепер перевіряє лише `type: 'library'` пакети — на app-пакетах давав хибні спрацювання на Vite `resolve.alias`-специфікаторах і на свідомо відсутньому `sassVariables`-маркері app-`main.js`. (4) Додано канонічний шаблон `.storybook/vitest.setup.js` (стандартний `@storybook/addon-vitest`-boilerplate) — генерується/перевіряється `scaffold`-концерном для обох типів пакета. (5) `npm/schemas/n-rules.json`: додано `storybook.detectApps`/`storybook.optOut` до кореневої схеми — без цього `additionalProperties: false` відкидав ці вже задокументовані поля `.n-rules.json` як невідомі. ## [1.43.0] - 2026-07-22 ### Added - docker: n-rules:bun-no-compile-маркер (# n-rules:bun-no-compile: <причина>) — генералізує native-addon-виняток на будь-яку недосяжну для checker-а причину неможливості bun build --compile (напр. динамічний import() рантайм-конфігу); вимикає вимогу компіляції й дозволяє mirror.gcr.io/oven/bun:* як фінальний stage ## [1.42.0] - 2026-07-22 ### Added - warnAboutRulesWithoutConcerns: попередження, якщо rule-id з .n-rules.json#rules не знайдено в жодному rulesDir (ядро+плагіни) — ловить дрейф конфігу після переїзду concern-ів у плагін ## [1.41.0] - 2026-07-22 ### Fixed - doc-files: прибрано безумовний T0 CRC-штамп для crc-mismatch (fix-check.mjs) — свіжий CRC поверх застарілого тексту назавжди маскував дрейф доки; тепер застаріла дока завжди регенерується fix-worker-ом (docgen). Guardrail: detectRefusalFiller ловить нові живі refusal-фрази локальної моделі («мені потрібен сам код», «щоб написати точну документацію», «I need the code») ## [1.40.1] - 2026-07-22 ### Fixed - `lint --full`: загублений `await` перед `ensureRunningInWorktree` ламав кожен прогін (у т.ч. зсередини `.worktrees/`) з `TypeError [ERR_INVALID_ARG_TYPE]`; заодно — guard проти видалення auto-created worktree при частковому провалі перенесення змін назад, і stack trace для programmer-помилок у top-level catch ## [1.40.0] - 2026-07-22 ### Changed - doc-files: пакет покращень генерації на малих локальних моделях (gemma-4, живий бенч на efes/backend) — R9 дет-зрізання чат-преамбул + штраф скорера; Behavior-наратив замість дубля «Публічного API»; STYLE-заборони мета-фраз; анкор лише в Behavior-промпті (без дублю в Огляді); scoped read-only гарантія (без over-claim, який валив LLM-суддя); юніт-дайджест замість сирого src для великих файлів (`N_CURSOR_DOCGEN_DIGEST_TOKENS`); judge-refine — один локальний фікс за зауваженнями судді з guard-ами (`N_CURSOR_DOCGEN_JUDGE_REFINE=0` — опт-аут) ## [1.39.0] - 2026-07-21 ### Added - workspace_root: канон одного кореневого uv workspace на репозиторій (дзеркало rust/workspace_root), main.json auto-glob розширено на вкладені pyproject.toml ## [1.38.0] - 2026-07-21 ### Fixed - tauri/gitignore_target, tauri/core_test_isolation: інваріант workspace-кореня замість хибної typo-версії ## [1.37.0] - 2026-07-21 ### Added - skills/storybook: скіл `n-storybook` — тонка обгортка запуску канону Storybook (`@7n/rules-lang-js`): звичайний прогін `lint storybook` і `--adopt`-режим для rollout-у на пакетах з уже наявним ручним Storybook (ADR канон-storybook-для-vue-компонентних-бібліотек, Кластер 8) ### Fixed - k8s: hasura_configmap/hasura_httproute тепер gated власним main.mjs (без false positive на ConfigMap/HTTPRoute без сусіднього Hasura Deployment); kubescape більше не падає fatal на Job/CronJob через auto-generated per-resource виняток C-0056/C-0018 ## [1.36.1] - 2026-07-20 ### Changed - test ## [1.36.0] - 2026-07-20 ### Added - doc-files: секція «Публічний API» рендериться дослівно для експортів із JSDoc-описом (0 LLM-токенів, 0 перефразувань), LLM викликається лише на прогалини (без опису або зі stub-заглушкою «опис.») ### Changed - тестовий no-op touch README для перевірки npm-publish CI ### Fixed - workspaces/resolve-js-root/package-manifest/tauri core_test_isolation: node:fs/promises#glob → Bun.Glob — платформна прогалина Node-compat шиму на self-hosted Linux Bun (export 'glob' відсутній), спостережено в @7n/rules-ci-azure lint job - hook під Node (npx): «detector changelog/consistency: import впав: Bun is not defined» — top-level `new Bun.Glob(...)` у workspaces.mjs/package-manifest.mjs валив import детектора; усі використання Bun.Glob (разом із resolve-js-root і tauri/core_test_isolation) переведені на runtime-нейтральний scanGlob (Bun.Glob під Bun, node:fs/promises#glob під Node) ## [1.35.0] - 2026-07-20 ### Added - tauri: додано концерн gitignore_target — перевірка й автофікс ignore-запису ws/src-tauri/target/ у корінному .gitignore (typo-інцидент nitra/task) ### Fixed - run-v8r: не рахувати ajv schema-compile-помилку (несправна зовнішня схема, напр. unicodeRegExp-несумісність у офіційній azure-pipelines-vscode/service-schema.json) як порушення файлу — друкує ⚠-попередження й пропускає, замість постійного false-positive ✖ - acp-runner (skill claude): watchdog дочірнього ACP-процесу — fail-fast, якщо агент не запустився чи вийшов до кінця ходу, замість вічного зависання connection.prompt ## [1.34.1] - 2026-07-20 ### Fixed - reexecIfPackageVersionChanged порівнював шлях effectivePackageRoot з BUNDLED_PACKAGE_ROOT замість версії — коли npx резолвиться в локальний node_modules/@7n/rules, шлях до і після self-upgrade однаковий, re-exec пропускався, і процес доводив сесію до кінця зі старим кодом у пам'яті V8 ## [1.34.0] - 2026-07-20 ### Added - doc-files: Vue SFC-екстрактор (`