@gaonjs/cli 0.18.0 → 0.23.0

package/dist/doctor/csrf-wiring.d.ts

@@ -0,0 +1,5 @@
+import type { RuleReport } from './types.js';
+/** routes.ts 소스에 상태 변경(비-GET) 라우트가 있는지 판정한다(단위 테스트 진입점). */
+export declare function hasStateChangingRoutes(routesSource: string): boolean;
+/** apps/ 를 훑어 CSRF/세션 미배선(비-GET 라우트 + session 없음)을 경고로 낸다. */
+export declare function checkCsrfWiring(cwd: string): Promise<RuleReport>;

package/dist/doctor/csrf-wiring.js

@@ -0,0 +1,72 @@
+// @gaonjs/cli · doctor · CSRF/세션 배선 검사 (결정 93)
+//
+// 규칙 8(§2.5.1): 보안 기본값(CORS·rate limit·CSRF)은 코어에서 기본 켬이다.
+// CSRF 는 세션 위에 얹힌다(session.ts) — 세션이 없으면 CSRF 토큰을 저장·검증할
+// 곳이 없어 상태 변경 요청(POST/PUT/PATCH/DELETE)이 **무방비**로 통과한다.
+//
+// 이 검사는 앱 routes.ts 에 비-GET 라우트가 있는데 그 앱 app.config.ts 에
+// session 배선이 없으면 경고한다 — 컴파일은 통과하지만 CSRF 가 실질적으로 꺼진
+// 상태다. JWT/API 앱(strategy:'jwt')은 토큰 인증이라 CSRF 대상이 아니므로 제외한다.
+//
+// 판정은 소스 텍스트 기반(가벼운 정적 검사) — routes.ts·app.config.ts 를 실행하지
+// 않는다. gaon new 스캐폴드는 web 앱에 세션을 기본 배선하므로(결정 93) 관례를
+// 따르면 이 경고는 나오지 않는다.
+import { readdir, readFile } from 'node:fs/promises';
+import { existsSync } from 'node:fs';
+import { join, relative } from 'node:path';
+import { hasSessionWiring } from './auth-wiring.js';
+/** routes.ts 소스에 상태 변경(비-GET) 라우트가 있는지 판정한다(단위 테스트 진입점). */
+export function hasStateChangingRoutes(routesSource) {
+    // r.post('/x', ...) · r.put/patch/delete — 메서드 + 경로 문자열.
+    if (/\.\s*(post|put|patch|delete)\s*\(\s*['"]/.test(routesSource))
+        return true;
+    // resource(s)('posts') — 리소스 라우트는 create/update/destroy(POST/PUT/DELETE)를 만든다.
+    if (/\.\s*resources?\s*\(\s*['"]/.test(routesSource))
+        return true;
+    return false;
+}
+/** apps/ 를 훑어 CSRF/세션 미배선(비-GET 라우트 + session 없음)을 경고로 낸다. */
+export async function checkCsrfWiring(cwd) {
+    const appsDir = join(cwd, 'apps');
+    const issues = [];
+    for (const app of await safeListDirs(appsDir)) {
+        const routesPath = join(appsDir, app, 'routes.ts');
+        const routesSource = await readFile(routesPath, 'utf8').catch(() => undefined);
+        if (routesSource === undefined)
+            continue;
+        if (!hasStateChangingRoutes(routesSource))
+            continue;
+        const acPath = join(appsDir, app, 'app.config.ts');
+        const acRel = relative(cwd, acPath);
+        const acSource = existsSync(acPath) ? await readFile(acPath, 'utf8') : undefined;
+        // JWT/API 앱은 토큰 인증 — CSRF 대상 아님(제외).
+        const jwt = acSource != null && /strategy\s*:\s*['"]jwt['"]/.test(acSource);
+        if (jwt)
+            continue;
+        if (acSource != null && hasSessionWiring(acSource))
+            continue;
+        issues.push({
+            rule: 'csrf-wiring',
+            level: 'warning',
+            file: `apps/${app}/routes.ts`,
+            message: `CSRF 미배선: apps/${app} 에 비-GET 라우트(POST/PUT/PATCH/DELETE)가 있는데 ` +
+                `${acRel} 에 session 배선이 없습니다 — CSRF 는 세션 위에 얹히므로(규칙 8 · §2.5.1) ` +
+                `이대로면 상태 변경 요청이 CSRF 검증 없이 통과합니다(결정 93).\n` +
+                `→ apps/${app}/app.config.ts 의 defineAppConfig({...}) 에 다음을 추가하세요:\n` +
+                `   session: { secret: process.env.SESSION_SECRET ?? '32자 이상 비밀' }\n` +
+                `→ 루트 gaon.config.ts 에 redis: { url: process.env.REDIS_URL } 이 켜져 있는지 확인하세요(세션 스토어).\n` +
+                `→ 토큰 인증 API 앱이라면 app.config 에 auth: { strategy: 'jwt', ... } 를 선언하세요(CSRF 대상 제외).`,
+            detail: { app },
+        });
+    }
+    return { rule: 'csrf-wiring', issues };
+}
+async function safeListDirs(dir) {
+    try {
+        const entries = await readdir(dir, { withFileTypes: true });
+        return entries.filter((e) => e.isDirectory()).map((e) => e.name);
+    }
+    catch {
+        return [];
+    }
+}

package/dist/doctor/internal-anchor.d.ts

@@ -0,0 +1,6 @@
+import type { RuleReport } from './types.js';
+export declare function internalAnchorHref(openTag: string): string | null;
+/** 소스에 내부 이동 일반 앵커가 있는지(단위 테스트 진입점 · 주석은 제외). */
+export declare function usesInternalAnchor(source: string): boolean;
+/** apps/ 의 .vue 를 훑어 내부 이동 일반 앵커를 경고로 낸다. */
+export declare function checkInternalAnchor(cwd: string): Promise<RuleReport>;

package/dist/doctor/internal-anchor.js

@@ -0,0 +1,122 @@
+// @gaonjs/cli · doctor · 앱 내부 이동 일반 <a> 앵커 검출 (결정 96 · 경고)
+//
+// 앱 내부 경로로 이동하는 일반 `<a href="/...">` 는 클릭마다 전체 문서를
+// 다시 로드한다 — Inertia SPA 상태(스크롤·폼·구독)가 초기화되고, "메인
+// 경로" 로 이동할 때마다 풀 리로드가 난다(첫 실사용 블로그에서 관측된 결함).
+// 앱 내부 이동은 `gaonjs/vue` 의 `Link`(선언적) 또는 `router.visit`(프로그램적)
+// 를 쓴다. 이 검사가 내부 경로 일반 앵커를 경고로 잡는다. 판정은 소스 텍스트 기반.
+//
+// 오탐 방지(결정 96): 외부 URL(http/https·//·mailto·tel)·프래그먼트(#)·
+// `target="_blank"`·정적 판별 불가한 바인딩(`:href="expr"` 중 템플릿 리터럴이
+// 아닌 것)은 건드리지 않는다. 내부로 확정 가능한 경우만 — 정적 `href="/..."`
+// 와 `/` 로 시작하는 템플릿 리터럴 `:href="`/...`"` — 잡는다.
+import { readdir, readFile } from 'node:fs/promises';
+import { join, relative } from 'node:path';
+// 주석을 공백으로 치환하되 줄바꿈은 보존한다(라인 번호 유지) — 안티패턴을
+// "쓰지 말라"고 설명하는 주석(줄/블록/HTML-Vue)이 오탐을 내지 않도록.
+function stripCommentsKeepLines(source) {
+    const blank = (m) => m.replace(/[^\n]/g, ' ');
+    return source
+        .replace(/\/\*[\s\S]*?\*\//g, blank)
+        .replace(/<!--[\s\S]*?-->/g, blank)
+        .replace(/(^|[^:])\/\/[^\n]*/g, (_m, p1) => p1 + ' '.repeat(_m.length - p1.length));
+}
+// 값이 앱 내부 경로(루트-상대)인지. 외부·프래그먼트·스킴은 제외.
+function isInternalStaticHref(value) {
+    const v = value.trim();
+    if (v === '')
+        return false;
+    if (v.startsWith('//'))
+        return false; // 프로토콜-상대 → 외부
+    if (/^[a-z][a-z0-9+.-]*:/i.test(v))
+        return false; // http:·mailto:·tel:·data: 등 스킴
+    if (v.startsWith('#'))
+        return false; // 페이지 내 프래그먼트
+    return v.startsWith('/'); // 루트-상대만 내부로 확정
+}
+// 여는 `<a ...>` 태그 하나가 "내부 이동 일반 앵커" 인지 판정해, 그렇다면
+// 문제의 href 문자열을 돌려준다(아니면 null). 정적 판별 불가는 null(오탐 방지).
+export function internalAnchorHref(openTag) {
+    // target="_blank" = 외부 의도 → 건드리지 않는다.
+    if (/\btarget\s*=\s*['"]_blank['"]/i.test(openTag))
+        return null;
+    // 정적 href="..."
+    const staticM = openTag.match(/\shref\s*=\s*(['"])([^'"]*)\1/i);
+    if (staticM)
+        return isInternalStaticHref(staticM[2]) ? staticM[2].trim() : null;
+    // 바인딩 :href / v-bind:href — 템플릿 리터럴 `/...` 만 내부로 확정.
+    const boundM = openTag.match(/(?::|v-bind:)href\s*=\s*(['"])([^'"]*)\1/i);
+    if (boundM) {
+        const expr = boundM[2].trim();
+        const tl = expr.match(/^`([^`]*)`$/); // `...` 전체가 템플릿 리터럴
+        if (tl && tl[1].startsWith('/') && !tl[1].startsWith('//'))
+            return expr;
+        return null; // 바인딩된 식(prop·식별자)은 정적 판별 불가 → 건드리지 않는다
+    }
+    return null;
+}
+/** 소스에 내부 이동 일반 앵커가 있는지(단위 테스트 진입점 · 주석은 제외). */
+export function usesInternalAnchor(source) {
+    const stripped = stripCommentsKeepLines(source);
+    for (const m of stripped.matchAll(/<a\b[^>]*>/gi)) {
+        if (internalAnchorHref(m[0]) !== null)
+            return true;
+    }
+    return false;
+}
+/** apps/ 의 .vue 를 훑어 내부 이동 일반 앵커를 경고로 낸다. */
+export async function checkInternalAnchor(cwd) {
+    const appsDir = join(cwd, 'apps');
+    const issues = [];
+    for (const abs of await walkVue(appsDir)) {
+        const source = await readFile(abs, 'utf8').catch(() => '');
+        const stripped = stripCommentsKeepLines(source);
+        const rel = relative(cwd, abs);
+        for (const m of stripped.matchAll(/<a\b[^>]*>/gi)) {
+            const href = internalAnchorHref(m[0]);
+            if (href === null)
+                continue;
+            const line = stripped.slice(0, m.index ?? 0).split('\n').length;
+            issues.push({
+                rule: 'internal-anchor',
+                level: 'warning',
+                file: rel,
+                line,
+                message: `내부 이동 일반 앵커 발견: ${rel}:${line} 이 \`<a href="${href}">\` 로 앱 내부 경로를 ` +
+                    `가리킵니다. 일반 \`<a>\` 는 클릭마다 전체 문서를 다시 로드해 Inertia SPA 상태가 ` +
+                    `초기화됩니다(첫 실사용에서 관측된 결함 · 결정 96).\n` +
+                    `→ \`gaonjs/vue\` 의 \`Link\` 를 쓰세요: \`import { Link } from 'gaonjs/vue'\` 후 ` +
+                    `\`<Link href="${href}">…</Link>\`. 프로그램적 이동은 \`router.visit(...)\`. ` +
+                    `외부 URL·\`target="_blank"\` 만 \`<a>\` 를 유지합니다.`,
+                detail: { file: rel, line, href },
+            });
+        }
+    }
+    return { rule: 'internal-anchor', issues };
+}
+/** apps/ 하위 .vue(선언·테스트 제외) 절대경로. */
+async function walkVue(dir) {
+    const out = [];
+    const walk = async (d) => {
+        let entries;
+        try {
+            entries = await readdir(d, { withFileTypes: true });
+        }
+        catch {
+            return;
+        }
+        for (const e of entries) {
+            const abs = join(d, e.name);
+            if (e.isDirectory()) {
+                if (e.name === 'node_modules' || e.name === '.gaon')
+                    continue;
+                await walk(abs);
+            }
+            else if (e.isFile() && e.name.endsWith('.vue')) {
+                out.push(abs);
+            }
+        }
+    };
+    await walk(dir);
+    return out.sort();
+}

package/dist/doctor/method-override.d.ts

@@ -0,0 +1,5 @@
+import type { RuleReport } from './types.js';
+/** 소스에 _method 오버라이드 hack 이 있는지(단위 테스트 진입점 · 주석은 제외). */
+export declare function usesMethodOverride(source: string): boolean;
+/** apps/ 의 .vue·.ts 를 훑어 _method 오버라이드 hack 을 경고로 낸다. */
+export declare function checkMethodOverride(cwd: string): Promise<RuleReport>;

package/dist/doctor/method-override.js

@@ -0,0 +1,75 @@
+// @gaonjs/cli · doctor · _method 오버라이드 hack 검출 (결정 89 · 경고)
+//
+// Gaon 은 `_method`(Rails/Laravel 식 HTTP 메서드 스푸핑)를 지원하지 않는다 —
+// Inertia 는 실 DELETE/PUT/PATCH 를 보낸다. `?_method=DELETE` 쿼리·`<input
+// name="_method">` 폼 필드·`{ _method: 'DELETE' }` 를 쓰면 컴파일은 통과하지만
+// 런타임이 조용히 파손된다(서버가 무시). 이 검사가 그 패턴을 경고로 잡는다.
+// (auth-flow 벤치 (d) 실측 근거 · AGENTS 절대 규칙 6). 판정은 소스 텍스트 기반.
+import { readdir, readFile } from 'node:fs/promises';
+import { join, relative } from 'node:path';
+// 메서드 오버라이드 hack 패턴: 쿼리(?_method=DELETE)·폼 필드(name="_method")·
+// 객체 키(_method: 'DELETE' · 따옴표 유무 무관 · 값이 HTTP 메서드일 때만 — 오탐 방지).
+const METHOD_OVERRIDE = /[?&]_method=|name\s*=\s*['"]_method['"]|['"]?\b_method\b['"]?\s*:\s*['"]?(?:DELETE|PUT|PATCH)/i;
+// 주석을 제거한다(줄 주석·블록 주석·HTML/Vue 주석) — 안티패턴을 "쓰지 말라"고
+// 설명하는 주석이 오탐을 내지 않도록. 실제 실행 코드만 남긴다.
+function stripComments(source) {
+    return source
+        .replace(/\/\*[\s\S]*?\*\//g, ' ')
+        .replace(/<!--[\s\S]*?-->/g, ' ')
+        .replace(/(^|[^:])\/\/[^\n]*/g, '$1'); // // 줄 주석(http:// 는 보존)
+}
+/** 소스에 _method 오버라이드 hack 이 있는지(단위 테스트 진입점 · 주석은 제외). */
+export function usesMethodOverride(source) {
+    return METHOD_OVERRIDE.test(stripComments(source));
+}
+/** apps/ 의 .vue·.ts 를 훑어 _method 오버라이드 hack 을 경고로 낸다. */
+export async function checkMethodOverride(cwd) {
+    const appsDir = join(cwd, 'apps');
+    const issues = [];
+    for (const abs of await walkSources(appsDir)) {
+        const source = await readFile(abs, 'utf8').catch(() => '');
+        if (!usesMethodOverride(source))
+            continue;
+        issues.push({
+            rule: 'method-override',
+            level: 'warning',
+            file: relative(cwd, abs),
+            message: `_method 오버라이드 hack 발견: ${relative(cwd, abs)} 이 \`_method\`(Rails/Laravel 식 HTTP ` +
+                `메서드 스푸핑)를 씁니다. Gaon 은 이를 지원하지 않아 컴파일은 통과해도 런타임이 조용히 ` +
+                `파손됩니다(서버가 무시 · 결정 89).\n` +
+                `→ Gaon 은 \`_method\` 를 지원하지 않습니다. HTML 폼이 못 보내는 메서드는 ` +
+                `\`router.delete(...)\` / \`useForm(...).delete(...)\` 를 쓰세요 (AGENTS 절대 규칙 6).`,
+            detail: { file: relative(cwd, abs) },
+        });
+    }
+    return { rule: 'method-override', issues };
+}
+/** apps/ 하위 .vue·.ts(선언·테스트 제외) 절대경로. */
+async function walkSources(dir) {
+    const out = [];
+    const walk = async (d) => {
+        let entries;
+        try {
+            entries = await readdir(d, { withFileTypes: true });
+        }
+        catch {
+            return;
+        }
+        for (const e of entries) {
+            const abs = join(d, e.name);
+            if (e.isDirectory()) {
+                if (e.name === 'node_modules' || e.name === '.gaon')
+                    continue;
+                await walk(abs);
+            }
+            else if (e.isFile()) {
+                if (e.name.endsWith('.d.ts') || e.name.endsWith('.test.ts'))
+                    continue;
+                if (e.name.endsWith('.vue') || e.name.endsWith('.ts'))
+                    out.push(abs);
+            }
+        }
+    };
+    await walk(dir);
+    return out.sort();
+}

package/dist/doctor/route-registration.d.ts

@@ -0,0 +1,5 @@
+import type { RuleReport } from './types.js';
+/** routes.ts 소스에서 참조된 컨트롤러 이름 집합을 뽑는다(단위 테스트 진입점). */
+export declare function referencedControllers(routesSource: string): Set<string>;
+/** apps/ 를 훑어 라우트에 등록되지 않은(고아) 컨트롤러를 경고로 낸다. */
+export declare function checkRouteRegistration(cwd: string): Promise<RuleReport>;

package/dist/doctor/route-registration.js

@@ -0,0 +1,77 @@
+// @gaonjs/cli · doctor · 라우트 미등록(고아 컨트롤러) 검사 (결정 79)
+//
+// apps/<앱>/controllers/<name>.ts 가 있는데 그 앱 routes.ts 어디에서도 참조되지
+// 않으면(= `<name>#action` 대상도, `resource(s)('<name>')` 도 없음) 그 컨트롤러는
+// 어떤 URL 로도 도달할 수 없다 — "라우트 미등록" 상태다. 컴파일은 통과하므로
+// check 로는 안 잡히는 조용한 누락이라, 이 검사가 경고로 낸다(라우트가 없는
+// 컨트롤러 파일은 배선을 깜빡한 흔한 실수 · §7.5.3 수리 안내).
+//
+// routes.ts 가 참조하는데 파일이 없는 반대 경우는 이미 generator 가 하드 에러로
+// 잡으므로(gaon check 중 throw) 여기서는 고아 컨트롤러만 본다. 판정은 소스 텍스트
+// 기반(가벼운 정적 검사) — routes.ts 를 실행하지 않는다.
+import { readdir, readFile } from 'node:fs/promises';
+import { join } from 'node:path';
+/** routes.ts 소스에서 참조된 컨트롤러 이름 집합을 뽑는다(단위 테스트 진입점). */
+export function referencedControllers(routesSource) {
+    const names = new Set();
+    // 메서드 대상: r.get('/', 'posts#index') → 'posts'
+    for (const m of routesSource.matchAll(/['"]([A-Za-z_]\w*)#\w+['"]/g))
+        names.add(m[1]);
+    // 리소스: r.resource('posts') · r.resources('posts')
+    for (const m of routesSource.matchAll(/\bresources?\s*\(\s*['"]([A-Za-z_]\w*)['"]/g))
+        names.add(m[1]);
+    return names;
+}
+/** apps/ 를 훑어 라우트에 등록되지 않은(고아) 컨트롤러를 경고로 낸다. */
+export async function checkRouteRegistration(cwd) {
+    const appsDir = join(cwd, 'apps');
+    const issues = [];
+    for (const app of await safeListDirs(appsDir)) {
+        const routesPath = join(appsDir, app, 'routes.ts');
+        const routesSource = await readFile(routesPath, 'utf8').catch(() => undefined);
+        // routes.ts 가 없으면 참조 집합을 알 수 없어 diff 불가 — 건너뛴다
+        // (routes.ts 자체 부재는 다른 층의 관심사).
+        if (routesSource === undefined)
+            continue;
+        const referenced = referencedControllers(routesSource);
+        const controllersDir = join(appsDir, app, 'controllers');
+        for (const stem of await controllerStems(controllersDir)) {
+            if (referenced.has(stem))
+                continue;
+            issues.push({
+                rule: 'route-registration',
+                level: 'warning',
+                file: `apps/${app}/controllers/${stem}.ts`,
+                message: `라우트 미등록: apps/${app}/controllers/${stem}.ts 가 있는데 ` +
+                    `apps/${app}/routes.ts 어디에서도 참조되지 않습니다 — 이 컨트롤러는 어떤 URL 로도 ` +
+                    `도달할 수 없습니다(결정 79).\n` +
+                    `→ apps/${app}/routes.ts 에 \`r.get('/${stem}', '${stem}#index')\`(또는 \`r.resources('${stem}')\`)를 ` +
+                    `추가하거나, 쓰지 않는 컨트롤러라면 파일을 지우세요.`,
+                detail: { app, controller: stem },
+            });
+        }
+    }
+    return { rule: 'route-registration', issues };
+}
+/** apps/<앱>/controllers/*.ts 의 stem 목록(선언·테스트 제외). */
+async function controllerStems(dir) {
+    try {
+        const entries = await readdir(dir, { withFileTypes: true });
+        return entries
+            .filter((e) => e.isFile() && e.name.endsWith('.ts') && !e.name.endsWith('.d.ts') && !e.name.endsWith('.test.ts'))
+            .map((e) => e.name.slice(0, -'.ts'.length))
+            .sort();
+    }
+    catch {
+        return [];
+    }
+}
+async function safeListDirs(dir) {
+    try {
+        const entries = await readdir(dir, { withFileTypes: true });
+        return entries.filter((e) => e.isDirectory()).map((e) => e.name);
+    }
+    catch {
+        return [];
+    }
+}

package/dist/doctor/static-collision.d.ts

@@ -0,0 +1,5 @@
+import type { RuleReport } from './types.js';
+/** routes.ts 소스에서 리터럴 라우트 경로 집합을 뽑는다(단위 테스트 진입점). */
+export declare function routePaths(routesSource: string): Set<string>;
+/** apps/ 를 훑어 라우트/에셋에 가려지는 정적 파일을 경고로 낸다. */
+export declare function checkStaticCollision(cwd: string): Promise<RuleReport>;

package/dist/doctor/static-collision.js

@@ -0,0 +1,84 @@
+// @gaonjs/cli · doctor · 정적 파일 ↔ 예약 경로 충돌 검사 (결정 85 · 경고)
+//
+// apps/<앱>/static/ 의 파일은 앱 prefix 아래로 서빙되지만, **명시 라우트와
+// /assets/ 는 항상 우선**한다(결정 85 · appStatic 은 폴백). 따라서 라우트가
+// 이미 쓰는 경로(또는 /assets/*)에 같은 이름의 정적 파일을 두면 그 파일은
+// **영원히 도달 불가**(조용히 라우트에 가려짐)다. 이 검사가 그 상태를 경고한다.
+// 판정은 소스 텍스트 기반(정적 · routes.ts 를 실행하지 않는다).
+import { readdir, readFile } from 'node:fs/promises';
+import { join } from 'node:path';
+/** routes.ts 소스에서 리터럴 라우트 경로 집합을 뽑는다(단위 테스트 진입점). */
+export function routePaths(routesSource) {
+    const paths = new Set();
+    // r.get('/path', ...) · r.post("/x/:id", ...) 등 — 첫 문자열 인자가 경로.
+    for (const m of routesSource.matchAll(/\br\.(?:get|post|put|patch|delete)\s*\(\s*['"]([^'"]+)['"]/g)) {
+        paths.add(m[1]);
+    }
+    // resource(s)('name') → REST 표준 경로의 콜리전 후보(/name).
+    for (const m of routesSource.matchAll(/\bresources?\s*\(\s*['"]([A-Za-z_]\w*)['"]/g)) {
+        paths.add(`/${m[1]}`);
+    }
+    return paths;
+}
+/** apps/ 를 훑어 라우트/에셋에 가려지는 정적 파일을 경고로 낸다. */
+export async function checkStaticCollision(cwd) {
+    const appsDir = join(cwd, 'apps');
+    const issues = [];
+    for (const app of await safeListDirs(appsDir)) {
+        const staticDir = join(appsDir, app, 'static');
+        const files = await listFiles(staticDir, staticDir);
+        if (files.length === 0)
+            continue;
+        const routesSource = await readFile(join(appsDir, app, 'routes.ts'), 'utf8').catch(() => '');
+        const routes = routePaths(routesSource);
+        for (const rel of files) {
+            const urlPath = `/${rel}`;
+            const shadowedByRoute = routes.has(urlPath);
+            const shadowedByAssets = rel === 'assets' || rel.startsWith('assets/');
+            if (!shadowedByRoute && !shadowedByAssets)
+                continue;
+            const by = shadowedByAssets ? '프론트 에셋(/assets/*)' : `라우트 ${urlPath}`;
+            issues.push({
+                rule: 'static-collision',
+                level: 'warning',
+                file: `apps/${app}/static/${rel}`,
+                message: `정적 파일 가려짐: apps/${app}/static/${rel} 은 ${by} 에 가려져 서빙되지 않습니다 ` +
+                    `(결정 85 · 라우트·에셋이 정적 폴더보다 우선).\n` +
+                    `→ 정적 파일 이름을 바꾸거나, 그 경로를 라우트로 직접 응답하세요.`,
+                detail: { app, path: urlPath },
+            });
+        }
+    }
+    return { rule: 'static-collision', issues };
+}
+/** staticDir 하위 파일을 상대 경로(posix)로 나열. */
+async function listFiles(dir, base) {
+    const out = [];
+    const walk = async (d) => {
+        let entries;
+        try {
+            entries = await readdir(d, { withFileTypes: true });
+        }
+        catch {
+            return;
+        }
+        for (const e of entries) {
+            const abs = join(d, e.name);
+            if (e.isDirectory())
+                await walk(abs);
+            else if (e.isFile())
+                out.push(abs.slice(base.length + 1).split('\\').join('/'));
+        }
+    };
+    await walk(dir);
+    return out;
+}
+async function safeListDirs(dir) {
+    try {
+        const entries = await readdir(dir, { withFileTypes: true });
+        return entries.filter((e) => e.isDirectory()).map((e) => e.name);
+    }
+    catch {
+        return [];
+    }
+}

package/dist/doctor/types.d.ts

@@ -1,4 +1,4 @@
-export type DoctorRule = 'response-mixing' | 'n-plus-one' | 'dependency-direction' | 'connections' | 'migration-diff' | 'shared-composable-purity' | 'no-auto-import' | 'schema-filename' | 'agents-doc-index' | 'column-casing' | 'model-filename' | 'page-filename' | 'auth-wiring' | 'ui-kit-wiring';
+export type DoctorRule = 'response-mixing' | 'n-plus-one' | 'dependency-direction' | 'connections' | 'migration-diff' | 'shared-composable-purity' | 'no-auto-import' | 'schema-filename' | 'agents-doc-index' | 'column-casing' | 'model-filename' | 'page-filename' | 'auth-wiring' | 'ui-kit-wiring' | 'route-registration' | 'static-collision' | 'method-override' | 'csrf-wiring' | 'internal-anchor';
 export type DoctorLevel = 'passed' | 'warning' | 'error';
 export interface DoctorCheck {
     readonly rule: DoctorRule;

package/dist/doctor/types.js

@@ -1,9 +1,7 @@
 // @gaonjs/cli · doctor 공용 타입 (M9-E · M9-E-Fix · M9-E 확장 · E-5)
 //
-// 14 검사(response-mixing · n-plus-one · dependency-direction · connections
-// · migration-diff · shared-composable-purity · no-auto-import · schema-filename
-// · agents-doc-index · column-casing · model-filename · page-filename · auth-wiring
-// · ui-kit-wiring)가 모두 이 DoctorCheck 를 낸다. 상위(runDoctorCommand)는 level 로 passed/
+// 19 검사(전체 목록은 AGENTS §2.2 · doctor.ts `ALL_RULES`)가 모두 이 DoctorCheck
+// 를 낸다. 상위(runDoctorCommand)는 level 로 passed/
 // warnings/errors 로 갈라 담는다. 자동화(CI)는 JSON 을 파싱해
 // errors.length > 0 이면 fail 로 판단한다.
 //

package/dist/doctor.d.ts

@@ -15,6 +15,8 @@ export { isPascalCase, checkModelFilename } from './doctor/model-filename.js';
 export { checkPageFilename } from './doctor/page-filename.js';
 export { usesAuthSurface, hasAuthWiring, hasSessionWiring, checkAuthWiring, } from './doctor/auth-wiring.js';
 export { importsUiKit, checkUiKitWiring } from './doctor/ui-kit-wiring.js';
+export { hasStateChangingRoutes, checkCsrfWiring } from './doctor/csrf-wiring.js';
+export { internalAnchorHref, usesInternalAnchor, checkInternalAnchor, } from './doctor/internal-anchor.js';
 export { renderHuman, renderJson } from './doctor/reporter.js';
 export { checkTypeScriptApi, detectProject, fatalNoProject, fatalTsApiMissing, } from './doctor/setup.js';
 export interface DoctorCommandOptions {

package/dist/doctor.js

@@ -1,7 +1,7 @@
 /**
  * @gaonjs/cli · `gaon doctor` — 정적 검사 (M9-E · CLI DX 완성 · E-5 확장)
  *
- * 14 검사를 조립한다:
+ * 19 검사를 조립한다:
  *  1) response-mixing (errata E-3 §C · 라이브)
  *  2) n-plus-one (errata E-4 (e))
  *  3) dependency-direction (CLAUDE.md §5 · 4 규칙)
@@ -16,6 +16,11 @@
  * 12) page-filename (§3.4 · 결정 32·46 · Vue 페이지 파일명 PascalCase)
  * 13) auth-wiring (§7 · 결정 59 · requireAuth ↔ app.config.ts auth 배선)
  * 14) ui-kit-wiring (§6.4 · 결정 76 · UI 킷 import ↔ apps/<앱>/style.css Tailwind 배선)
+ * 15) route-registration (결정 79 · 고아 컨트롤러 = routes.ts 미참조 경고)
+ * 16) static-collision (결정 85 · 정적 파일이 라우트/에셋에 가려짐 경고)
+ * 17) method-override (결정 89 · _method HTTP 스푸핑 hack 경고)
+ * 18) csrf-wiring (결정 93 · 비-GET 라우트 + session 미배선 = CSRF 무방비 경고)
+ * 19) internal-anchor (결정 96 · 앱 내부 이동 일반 <a> = 풀 리로드 경고)
  *
  * 각 검사는 순수 함수(cwd → RuleReport). 상위 runDoctorCommand 가 조립해
  * DoctorResult 로 낸다. --json 은 자동화(CI)를 위해 반드시 파싱 가능한
@@ -42,6 +47,11 @@ import { checkModelFilename } from './doctor/model-filename.js';
 import { checkPageFilename } from './doctor/page-filename.js';
 import { checkAuthWiring } from './doctor/auth-wiring.js';
 import { checkUiKitWiring } from './doctor/ui-kit-wiring.js';
+import { checkRouteRegistration } from './doctor/route-registration.js';
+import { checkStaticCollision } from './doctor/static-collision.js';
+import { checkMethodOverride } from './doctor/method-override.js';
+import { checkCsrfWiring } from './doctor/csrf-wiring.js';
+import { checkInternalAnchor } from './doctor/internal-anchor.js';
 import { renderHuman, renderJson } from './doctor/reporter.js';
 import { checkTypeScriptApi, detectProject, fatalNoProject, fatalTsApiMissing, } from './doctor/setup.js';
 import { makeResult, } from './doctor/types.js';
@@ -60,10 +70,12 @@ export { isPascalCase, checkModelFilename } from './doctor/model-filename.js';
 export { checkPageFilename } from './doctor/page-filename.js';
 export { usesAuthSurface, hasAuthWiring, hasSessionWiring, checkAuthWiring, } from './doctor/auth-wiring.js';
 export { importsUiKit, checkUiKitWiring } from './doctor/ui-kit-wiring.js';
+export { hasStateChangingRoutes, checkCsrfWiring } from './doctor/csrf-wiring.js';
+export { internalAnchorHref, usesInternalAnchor, checkInternalAnchor, } from './doctor/internal-anchor.js';
 export { renderHuman, renderJson } from './doctor/reporter.js';
 export { checkTypeScriptApi, detectProject, fatalNoProject, fatalTsApiMissing, } from './doctor/setup.js';
 /**
- * 실행할 검사 이름. 지정 없음(undefined) = 14개 모두.
+ * 실행할 검사 이름. 지정 없음(undefined) = 19개 모두.
  */
 const ALL_RULES = [
     'response-mixing',
@@ -80,6 +92,11 @@ const ALL_RULES = [
     'page-filename',
     'auth-wiring',
     'ui-kit-wiring',
+    'route-registration',
+    'static-collision',
+    'method-override',
+    'csrf-wiring',
+    'internal-anchor',
 ];
 const CHECKERS = {
     'response-mixing': checkResponseMixing,
@@ -96,6 +113,11 @@ const CHECKERS = {
     'page-filename': checkPageFilename,
     'auth-wiring': checkAuthWiring,
     'ui-kit-wiring': checkUiKitWiring,
+    'route-registration': checkRouteRegistration,
+    'static-collision': checkStaticCollision,
+    'method-override': checkMethodOverride,
+    'csrf-wiring': checkCsrfWiring,
+    'internal-anchor': checkInternalAnchor,
 };
 /**
  * 규칙을 순서대로 실행해 RuleReport[] 를 낸다. 규칙 하나가 크래시해도 나머지는

package/dist/generate.d.ts

@@ -21,6 +21,14 @@ export declare function authScaffoldFiles(opts?: AuthScaffoldOptions): ScaffoldF
  * `routes((r) => {` 콜백 여는 지점 뒤에 두 줄을 삽입한다.
  */
 export declare function patchRoutes(existing: string): string | null;
+/**
+ * 기존 app.config.ts 에 auth 배선을 끼워 넣는다 (결정 93 · gaon new 기본 web 앱은
+ * 세션만 배선돼 있어 g auth 는 auth 만 추가하면 완성된다). 반환:
+ *  · auth 가 이미 있으면 null (그대로 둔다),
+ *  · defineAppConfig 객체 리터럴을 못 찾으면 null (안전 · 상위에서 경고 폴백).
+ * 성공 시 loadUser import 도 함께 보장한다.
+ */
+export declare function patchAppConfigAddAuth(existing: string): string | null;
 /** 스캐폴드를 디스크에 쓴다. 기존 파일은 덮어쓰지 않고 skip 한다. routes.ts 는 패치. */
 export declare function writeAuthScaffold(cwd: string, opts?: AuthScaffoldOptions): ScaffoldResult;
 export interface GenerateAuthOptions {