@01.works/visual-review 0.9.5 → 0.10.0

package/README.md

@@ -118,6 +118,15 @@ const review = installVisualReview();
 // 필요한 경우 await review.refresh();
 ```
 
+기본 page identity는 개인정보 노출을 줄이기 위해 `pathname`만 사용합니다. Query나
+hash가 실제로 서로 다른 화면을 나타내는 SPA는 명시적으로 URL identity를 켭니다.
+이 모드는 Convex runtime에서만 지원되며 rollback Instant runtime에서는 조용히 섞지
+않고 오류로 닫힙니다.
+
+```ts
+installVisualReview({ pageIdentity: 'url' });
+```
+
 다른 페이지의 피드백을 여는 동작은 `/next` entry가 App Router의 `push`로 처리하고,
 일반 정적/멀티페이지 사이트에서는 실제 페이지 이동을 사용합니다. React Router처럼
 별도 router API가 필요한 호스트는 `navigateToFeedback: (url) => router.navigate(url)`을
@@ -216,20 +225,26 @@ bootstrap을 시작하지 않습니다. development build의 1회 console 안내
 `enabled={false}`는 긴급 kill switch이며 진단도 실행하지 않습니다.
 
 검증 성공 뒤 activation의 범위는 runtime의 실제 인증 재개 범위를 따릅니다. 현재 hosted
-Convex runtime은 reviewer bearer와 marker를 모두 탭의 `sessionStorage`에 두므로 같은 탭의
-새로고침·복원만 재개합니다. Browser-persistent auth를 제공하는 runtime만 만료 시각이 든
-versioned `localStorage` marker를 사용합니다. 만료되거나 인증과 어긋난 legacy marker는
-DOM·runtime import·network 전에 제거됩니다. 위젯의 **피드백 목록 → 리뷰 종료**는 현재
-브라우저의 현재 site에서 local session과 activation을 정리하며, 모든 기기의 접근
-철회는 owner의 invitation revoke가 담당합니다.
+Convex runtime은 브라우저에서 non-extractable P-256 device key를 만들고 IndexedDB의
+구조화 복제로 저장합니다. 같은 브라우저의 새로고침·탭 복원·재접속은 이어지지만 장기
+bearer 원문은 browser storage나 server 어디에도 존재하지 않습니다. JWT 갱신은 server가
+발급한 1회성 challenge/counter를 device key로 서명해야 하며 replay는 Convex mutation에서
+원자적으로 차단됩니다. Device session은 invitation access expiry 이내, 최대 30일입니다.
+이전 버전의 `localStorage`/`sessionStorage` bearer는 읽거나 승격하지 않고 즉시 삭제합니다.
+만료되거나 인증과 어긋난 marker는 제거됩니다. 위젯의 **피드백 목록 → 리뷰 종료**는 현재
+브라우저의 현재 site에서 signed server device session revoke를 시도한 뒤 local key와
+activation을 정리합니다. 모든 기기의 접근 철회는 owner의 invitation revoke가 담당합니다.
 
 처음에는 이메일의
 `#visual-review=<invitation-id>&visual-review-token=<one-time-token>` 링크로 접근합니다. hosted service가
 project에 연결된 exact Origin 목록과 현재 pathname을 읽기 전용 activation gate로
 확인합니다. bootstrap 응답은 provider의 public endpoint와 invitation expiry만 반환하며
 reviewer session이나 이메일을 포함하지 않습니다. Fragment는 주소창에서 즉시 제거되고,
-reviewer가 **리뷰 시작**을 누를 때 server가 1회용 token을 지정된 origin/path에서 교환해
-provider session과 invitation claim을 함께 만듭니다. 인증된 `/v1/pages/resolve`가 아직 등록되지 않은
+reviewer가 **리뷰 시작**을 누를 때 server가 token을 지정된 origin/path에서 교환해
+provider session과 invitation claim을 함께 만듭니다. token은 15분 retry grace 뒤
+소진되며 browser session이 끝났거나 다른 브라우저·기기에서는 같은 링크가 이메일 복구
+코드 flow를 시작합니다.
+인증된 `/v1/pages/resolve`가 아직 등록되지 않은
 pathname을 자동 등록합니다. Server는
 provider의 user-scoped mutation으로 claim을 실행하며 완료된 뒤에만 client가
 정확한 page를 선택해 subscription과 overlay를 mount합니다. `revokedAt`,

package/THIRD_PARTY_NOTICES.md

@@ -114,6 +114,15 @@ integrated at version `1.0.52`.
 - License: Apache License 2.0
 - License text: `LICENSES/Apache-2.0.txt`
 
+## Convex JavaScript SDK
+
+The browser runtime bundles the Convex JavaScript SDK browser client, version
+`1.45.0`.
+
+- Repository: https://github.com/get-convex/convex-backend
+- License: Apache License 2.0
+- License text: `LICENSES/Apache-2.0.txt`
+
 ## Mutative
 
 - Repository: https://github.com/unadlib/mutative