@01.works/visual-review 0.9.6 → 0.11.0

package/README.md

@@ -118,6 +118,15 @@ const review = installVisualReview();
 // 필요한 경우 await review.refresh();
 ```
 
+기본 page identity는 개인정보 노출을 줄이기 위해 `pathname`만 사용합니다. Query나
+hash가 실제로 서로 다른 화면을 나타내는 SPA는 명시적으로 URL identity를 켭니다.
+이 모드는 Convex runtime에서만 지원되며 rollback Instant runtime에서는 조용히 섞지
+않고 오류로 닫힙니다.
+
+```ts
+installVisualReview({ pageIdentity: 'url' });
+```
+
 다른 페이지의 피드백을 여는 동작은 `/next` entry가 App Router의 `push`로 처리하고,
 일반 정적/멀티페이지 사이트에서는 실제 페이지 이동을 사용합니다. React Router처럼
 별도 router API가 필요한 호스트는 `navigateToFeedback: (url) => router.navigate(url)`을
@@ -216,12 +225,15 @@ bootstrap을 시작하지 않습니다. development build의 1회 console 안내
 `enabled={false}`는 긴급 kill switch이며 진단도 실행하지 않습니다.
 
 검증 성공 뒤 activation의 범위는 runtime의 실제 인증 재개 범위를 따릅니다. 현재 hosted
-Convex runtime은 reviewer bearer와 marker를 모두 탭의 `sessionStorage`에 두므로 같은 탭의
-새로고침·복원만 재개합니다. Browser-persistent auth를 제공하는 runtime만 만료 시각이 든
-versioned `localStorage` marker를 사용합니다. 만료되거나 인증과 어긋난 legacy marker는
-DOM·runtime import·network 전에 제거됩니다. 위젯의 **피드백 목록 → 리뷰 종료**는 현재
-브라우저의 현재 site에서 local session과 activation을 정리하며, 모든 기기의 접근
-철회는 owner의 invitation revoke가 담당합니다.
+Convex runtime은 브라우저에서 non-extractable P-256 device key를 만들고 IndexedDB의
+구조화 복제로 저장합니다. 같은 브라우저의 새로고침·탭 복원·재접속은 이어지지만 장기
+bearer 원문은 browser storage나 server 어디에도 존재하지 않습니다. JWT 갱신은 server가
+발급한 1회성 challenge/counter를 device key로 서명해야 하며 replay는 Convex mutation에서
+원자적으로 차단됩니다. Device session은 invitation access expiry 이내, 최대 30일입니다.
+이전 버전의 `localStorage`/`sessionStorage` bearer는 읽거나 승격하지 않고 즉시 삭제합니다.
+만료되거나 인증과 어긋난 marker는 제거됩니다. 위젯의 **피드백 목록 → 리뷰 종료**는 현재
+브라우저의 현재 site에서 signed server device session revoke를 시도한 뒤 local key와
+activation을 정리합니다. 모든 기기의 접근 철회는 owner의 invitation revoke가 담당합니다.
 
 처음에는 이메일의
 `#visual-review=<invitation-id>&visual-review-token=<one-time-token>` 링크로 접근합니다. hosted service가
@@ -230,7 +242,8 @@ project에 연결된 exact Origin 목록과 현재 pathname을 읽기 전용 act
 reviewer session이나 이메일을 포함하지 않습니다. Fragment는 주소창에서 즉시 제거되고,
 reviewer가 **리뷰 시작**을 누를 때 server가 token을 지정된 origin/path에서 교환해
 provider session과 invitation claim을 함께 만듭니다. token은 15분 retry grace 뒤
-소진되며 새 탭이나 기기에서는 같은 링크가 이메일 복구 코드 flow를 시작합니다.
+소진되며 browser session이 끝났거나 다른 브라우저·기기에서는 같은 링크가 이메일 복구
+코드 flow를 시작합니다.
 인증된 `/v1/pages/resolve`가 아직 등록되지 않은
 pathname을 자동 등록합니다. Server는
 provider의 user-scoped mutation으로 claim을 실행하며 완료된 뒤에만 client가

package/THIRD_PARTY_NOTICES.md

@@ -114,6 +114,15 @@ integrated at version `1.0.52`.
 - License: Apache License 2.0
 - License text: `LICENSES/Apache-2.0.txt`
 
+## Convex JavaScript SDK
+
+The browser runtime bundles the Convex JavaScript SDK browser client, version
+`1.45.0`.
+
+- Repository: https://github.com/get-convex/convex-backend
+- License: Apache License 2.0
+- License text: `LICENSES/Apache-2.0.txt`
+
 ## Mutative
 
 - Repository: https://github.com/unadlib/mutative