.pre-commit-config.yaml

# Instaluj oba typy hooków przy `pre-commit install` — pre-commit (per
# commit) ORAZ pre-push (range-lint poniżej + TruffleHog).
default_install_hook_types: [pre-commit, pre-push]

repos:
    - repo: https://github.com/astral-sh/ruff-pre-commit
      # Keep in sync with `ruff` pin in pyproject.toml's `[dev]` extra.
      # A lower pin here caused pre-commit to accept an I001 layout that
      # ruff 0.15.x (used by CI) rejected — the diff was invisible
      # locally until GitHub Actions failed.
      rev: v0.16.6
      hooks:
        - id: ruff
          args: ["--fix", "--exit-non-zero-on-fix"]
        - id: ruff-format

    - repo: https://github.com/astral-sh/uv-pre-commit
      # Trzymaj w parze z wersją uv w CI i w Dockerfile (obecnie 0.13.5).
      # Hook bundluje własne uv — nowszy pin potrafi przepisać uv.lock do
      # nowszego formatu wewnętrznego (churn), więc celowo pinujemy tag
      # najbliższy uv-owi z tego środowiska zamiast "latest". Domyślny
      # scope hooka to ^(uv\.lock|pyproject\.toml|uv\.toml)$ — NIE poszerzać.
      # Gwarantuje, że każdy commit dotykający deps ma spójny uv.lock;
      # autorytatywnym gate'em (nie do obejścia) jest job `lockfile` w CI.
      rev: 0.13.5
      hooks:
        - id: uv-lock

    # djlint: walidacja strukturalna templatów HTML/Django. Konfiguracja
    # w [tool.djlint] w pyproject.toml — egzekwujemy tylko reguły
    # strukturalne (H020 empty-tag-pair, H025 orphan-tag) ktore lapią
    # bugi rozjezdzajace minifier HTML; reszta wyciszona zeby pre-commit
    # nie blokowal istniejacego codebase.
    - repo: https://github.com/djlint/djLint
      rev: v1.36.4
      hooks:
        - id: djlint-django
          # --lint: tylko reguly strukturalne (H020/H025/H017 etc.),
          # bez sugestii reformatowania (--check by przepuszczal cale
          # diff-y indentacji na pre-commit, blokujac niezmienione pliki).
          args: ["--lint"]
          files: \.html$
          # Tech-debt z dev (dochodzi w merge'u origin/dev): templaty
          # z wzorcem `{% if %}<a>{% else %}<a>{% endif %}content</a>`
          # ktorego djlint nie potrafi sparsowac (H025 orphan tags) +
          # pojedyncze H020 empty-tag. Pre-existing na dev, follow-up
          # PR rozwiaze refactorem href-y do jednego wezla
          # `<a href="?{% if x %}{{x}}&{% endif %}sort=...">`.
          exclude: |
            (?x)^(
              node_modules/
              | .*/migrations/
              | .*/staticroot/
              | src/django_bpp/static/500\.html$
              | src/bpp/static/500\.html$
              | src/rozbieznosci_if/templates/rozbieznosci_if/index\.html$
              | src/rozbieznosci_pk/templates/rozbieznosci_pk/index\.html$
              | src/snapshot_odpiec/templates/snapshot_odpiec/snapshotodpiec_list\.html$
            )

    - repo: https://github.com/pre-commit/pre-commit-hooks
      rev: 'v6.0.0'
      hooks:
        -   id: check-yaml
            # docker-compose.test.ci.yml uses Compose's `!reset` YAML
            # tag (Compose 2.4+) to drop volumes inherited from the
            # base file. PyYAML's safe loader doesn't know
            # Compose-specific tags, so check-yaml chokes on a file
            # that `docker compose config` parses fine.
            #
            # mkdocs.yml uses `!!python/object/apply:pymdownx.slugs.slugify`
            # (Python-object tag) — SafeLoader odmawia jego budowy, choć
            # `mkdocs build --strict` parsuje plik bez problemu.
            exclude: ^(docker-compose\.test\.ci\.yml|mkdocs\.yml)$
        -   id: check-toml
        -   id: end-of-file-fixer
            exclude: ^baseline-sql/baseline\.sql$
        -   id: trailing-whitespace
            exclude: ^baseline-sql/baseline\.sql$
        -   id: mixed-line-ending
            exclude: ^baseline-sql/baseline\.sql$
        -   id: check-added-large-files
            args: ['--maxkb=500']
            # .test_durations to celowy, generowany plik danych pytest-split
            # (~450K, rosnie z liczba testow — same dlugie node-id dominuja
            # rozmiar). Hook ma lapac PRZYPADKOWE bloby, nie ten plik.
            exclude: ^\.test_durations$
        -   id: check-merge-conflict
        -   id: check-case-conflict
        -   id: debug-statements

    - repo: local
      hooks:
        # Django tokenizuje `{#.*?#}` bez re.DOTALL, więc `{#` bez `#}` w
        # tej samej linii NIE jest komentarzem — treść wycieka do HTML-u.
        # Ten hook flaguje wieloliniowe `{# ... #}` (nie rusza `{{#`
        # Mustache). Fix: per-linia `{# ... #}` lub `{% comment %}`.
        # language: python → izolowany, stdlib-only venv (bez uv sync).
        - id: django-comments-jednoliniowe
          name: Django {# #} jednoliniowe (inaczej tekst wycieka do HTML)
          entry: python bin/check-django-template-comments.py
          language: python
          files: \.html$
          exclude: |
            (?x)^(
              node_modules/
              | .*/migrations/
              | .*/staticroot/
              | src/django_bpp/static/500\.html$
              | src/bpp/static/500\.html$
            )

        # Ruff jest przypięty w DWÓCH miejscach, które muszą być równe:
        # `ruff==X` w extrze [dev] w pyproject.toml (to ruff z `uv run
        # ruff`) ORAZ `rev: vX` przy astral-sh/ruff-pre-commit wyżej (to
        # ruff, którego odpala pre-commit i job CI "Lint changed files").
        # pre-commit NIE używa ruffa z pyproject — buduje własne izolowane
        # środowisko z wheela dla tagu spod `rev:`, więc to dwa różne
        # binaria. Rozjazd = "przechodzi lokalnie, pada w CI" (zdarzyło
        # się już: niższy `rev` przepuścił układ I001 odrzucony przez CI).
        # Dependabot podbija TYLKO pin w pyproject (śledzi ekosystem `uv`,
        # nie `pre-commit`), więc bez tej bramki każdy bump ruffa je
        # rozjeżdża. Zamienia zasadę pilnowaną komentarzem na zasadę
        # pilnowaną przez build. language: python → stdlib-only venv.
        - id: ruff-piny-zsynchronizowane
          name: "ruff: pin w pyproject == rev w .pre-commit-config"
          entry: python bin/check-ruff-pin-sync.py
          language: python
          pass_filenames: false
          always_run: true

        - id: trufflehog
          name: TruffleHog
          description: Detect secrets in your data.
          entry: bash -c 'trufflehog git file://. --since-commit HEAD --only-verified --fail --no-update'
          language: system
          stages: ["pre-commit", "pre-push"]

        # Lint CAŁEGO zakresu gałęzi (origin/dev..HEAD) tym samym ruff-em co
        # job CI "Lint changed files" — na PRE-PUSH. Per-commit hook lintuje
        # tylko pliki danego commita, więc problem w pliku zmienionym
        # WCZEŚNIEJ w branchu (którego późniejsze commity nie dotykają)
        # wychodzi inaczej dopiero w CI. Ten hook odtwarza dokładnie komendę
        # CI (--from-ref/--to-ref, ten sam przypięty ruff), więc "przechodzi
        # lokalnie, pada w CI" znika. Nie da się tego złapać na pre-commit:
        # commit widzi tylko swoje staged pliki, nie cały zakres gałęzi.
        - id: ruff-zakres-galezi
          name: ruff + ruff-format na zakresie origin/dev..HEAD (jak CI)
          entry: bash -c 'git fetch --no-tags -q --depth=100 origin dev || true; pre-commit run ruff --from-ref origin/dev --to-ref HEAD --show-diff-on-failure && pre-commit run ruff-format --from-ref origin/dev --to-ref HEAD --show-diff-on-failure'
          language: system
          stages: ["pre-push"]
          pass_filenames: false
          always_run: true

#    - repo: https://github.com/gitguardian/ggshield
#      rev: v1.43.0
#      hooks:
#        - id: ggshield
#          language: python
#          stages: [commit]

    - repo: https://github.com/rhysd/actionlint
      rev: v1.7.8
      hooks:
        - id: actionlint

    # zizmor: security audyt workflowów GitHub Actions. Wykrywa m.in.
    # nie-pinowane akcje, niebezpieczne triggery (pull_request_target),
    # injection w expressionach, zbyt szerokie permissions. Praktyka #13
    # z lirantal/pypi-security-best-practices.
    - repo: https://github.com/zizmorcore/zizmor-pre-commit
      rev: v1.24.1
      hooks:
        - id: zizmor

#
#    - repo: local
#      hooks:
#        - id: pylint
#          name: pylint
#          entry: pylint
#          language: system
#          types: [python]
#          args:
#            [
#              "-rn", # Only display messages
#              "-sn", # Don't display the score
#            ]
#