registry / @7n/rules / 1.17.3

@7n/rules@1.17.3

CLI еталонних правил і skills (префікс n-): синк у репозиторій, дельта-lint, конформність

Static Scan Results

scanned 2h ago · by rust-scanner

Static analysis flagged 13 finding(s) at 72.0% confidence. This version is warn-only unless an AI or security-team review confirms malicious behavior.

Static reason

One or more suspicious static signals were detected.

Decision evidence

public snapshot

Behavioral surface

Source

ChildProcessCryptoDynamicRequireEnvironmentVarsFilesystemNativeBindingsNetworkShell

Supply chain

HighEntropyStringsUrlStrings

ManifestNo manifest risk signals triggered.

scanned 272 file(s), 2.07 MB of source, external domains: api.github.com, blueoakcouncil.org, brew.sh, bun.com, crates.io, datreeio.github.io, git.io, github.com, json.schemastore.org, kubernetes.io, pypi.org, raw.githubusercontent.com, registry.npmjs.org, scoop.sh, unpkg.com

Source & flagged code

5 flagged

bin/n-rules.jsView file

Lines 48-88javascript

48 *

49 * Composite GitHub Action `.github/actions/setup-bun-deps/action.yml` копіюється з каталогу

50 * `github-actions/` пакету при кожному успішному синку (workflows з правил ga / js-lint / text).

51 *

52 * Skills копіюються з npm/skills пакету лише для id з масиву «skills» у .n-rules.json

53 * (у JSON — без префікса, як імена каталогів у rules/ без n-). У пакеті джерело — каталоги

54 * skills/<id>/ (без префікса); у проєкті — .cursor/skills/n-<id>/ (префікс n-, як n-*.mdc).

55 * Якщо ключа skills немає, за замовчуванням підтягуються всі підкаталоги skills/ (лише імена без префікса n-).

56 * Зайві каталоги n-* у .cursor/skills, яких немає у списку, видаляються.

57 * Файл `auto.md` у скілі — джерело правди для auto-skills у CLI (`scripts/auto-skills.mjs`)

58 * і у проєкт не копіюється; раніше синхронізовані `auto.md` у `.cursor/skills/n-<id>/` CLI

59 * не чіпає — їх потрібно прибрати вручну.

60 *

61 * Якщо в корені є package.json і в ньому ще немає \@7n/rules у devDependencies (і не оголошено

62 * в dependencies), CLI дописує devDependencies з діапазоном ^<version> поточного пакету — зручно після npx.

63 *

64 * Перед копіюванням правил (режим без підкоманди): оновлення \@7n/rules у package.json до

65 * останньої версії з npm (крім workspace:/file:/link: тощо), `bun i`, далі файли беруться з

66 * `node_modules/@7n/rules`, якщо пакет з’явився після встановлення.

67 */

69import { spawnSync } from 'node:child_process'

70import { existsSync } from 'node:fs'

High

Child Process

Package source references child process execution.

bin/n-rules.jsView on unpkg · L68

71import { mkdir, readdir, readFile, rename, rm, unlink, writeFile } from 'node:fs/promises'

72import { basename, dirname, join, resolve } from 'node:path'

73import { cwd, env } from 'node:process'

74import { fileURLToPath } from 'node:url'

76import { buildAgentsCommandBulletItems } from '../scripts/build-agents-commands.mjs'

77import { formatGeneratedMarkdownLines, renderAgentsTemplate } from '../scripts/lib/generated-markdown.mjs'

78import { appendDiscoveredMdcFiles, inlineTemplateLinks } from '../scripts/lib/inline-template-links.mjs'

79import {

80 detectAutoRules,

81 detectLegacyRuleIds,

82 mergeConfigWithAutoDetected,

83 normalizeIdList,

84 RULE_MIGRATIONS

85} from '../scripts/auto-rules.mjs'

86import { detectAutoSkills } from '../scripts/auto-skills.mjs'

87import { readSkillMetaRaw } from '../scripts/lib/skill-meta.mjs'

88import { injectWorktreeNotice } from '../scripts/lib/worktree-notice.mjs'

scripts/smoke-check-imports.mjsView file

Lines 29-67javascript

29 if (!absPath.endsWith('.mjs')) return true

30 if (SKIP_SEGMENTS.some(seg => absPath.includes(seg))) return

scripts/lib/resolve-plugins.mjsView file

Lines 1-29javascript

1/**

2 * Резолв плагінів `@7n/rules`: які пакети-плагіни активні у проєкті, де їхні `rules/`,

3 * які capabilities вони дають і які handlers надають.

4 *

5 * Джерело правди — поле `plugins: string[]` у `.n-rules.json` (завжди перекриває автодетект;

6 * явний `[]` = «плагіни вимкнено»). Якщо поля немає — `detectPluginsFromRepo`: файлові сигнали

7 * (`.github/workflows/*.yml` → `@7n/rules-ci-github`; `azure-pipelines.yml` → `@7n/rules-ci-azure`),

8 * а без них — fallback за `repository.url` кореневого package.json (`github.com` / `dev.azure.com`).

9 *

.claude-template/hooks/normalize-decisions.shView file

•path = .claude-template/hooks/normalize-decisions.sh kind = payload_in_excluded_dir sizeBytes = 24519 magicHex = [redacted]

High

Payload In Excluded Dir

Package hides binary, compressed, or executable-looking payloads in test/fixture/hidden paths.

.claude-template/hooks/normalize-decisions.shView on unpkg

•path = .claude-template/hooks/normalize-decisions.sh kind = build_helper sizeBytes = 24519 magicHex = [redacted]

Medium

Ships Build Helper

Package ships non-JavaScript build or shell helper files.

.claude-template/hooks/normalize-decisions.shView on unpkg

Source & flagged code

5 flagged · loading source

bin/n-rules.js

Static Scan Results

Decision evidence

Source & flagged code

Source & flagged code

Findings

Source & flagged code