@gaonjs/cli 0.39.0 → 0.40.4

package/dist/db/diff.js

@@ -2,21 +2,9 @@
 //
 // 순수 diff — 아무것도 실행하지 않는다(SQL 만 출력). computeMigration 이
 // 방언별 up/down 을 이미 만든다(@gaonjs/data). 이 함수는 배선·표현 담당.
-import { computeMigration } from '@gaonjs/data';
+import { computeMigration, summarizeOp } from '@gaonjs/data';
 import { resolveDbTarget } from './resolve.js';
 import { listMigrationFiles } from './replay.js';
-function opSummary(op) {
-    switch (op.kind) {
-        case 'createTable':
-            return { kind: op.kind, table: op.table.name };
-        case 'dropTable':
-            return { kind: op.kind, table: op.name };
-        case 'addColumn':
-        case 'dropColumn':
-        case 'alterColumn':
-            return { kind: op.kind, table: op.table, column: op.column };
-    }
-}
 /**
  * `gaon db diff` — 커넥션 대비 스키마 diff 를 계산해 텍스트·JSON 을 낳는다.
  * 아무것도 적용하지 않는다. exitCode 는 항상 0(변경 없음도 성공 · CI 에서
@@ -30,7 +18,7 @@ export async function runDbDiff(opts) {
     });
     try {
         const plan = await computeMigration(target.db, target.tables, target.dialect);
-        const ops = plan.ops.map(opSummary);
+        const ops = plan.ops.map(summarizeOp);
         // diff 는 스키마↔DB 차이만 미리 보여준다(적용 X). db/migrations/*.ts 는
         // migrate 의 replay 단계가 실제로 실행한다(§4.8) — 여기선 목록만 참고로 싣는다.
         const migrationFiles = listMigrationFiles(opts.cwd).map((f) => `db/migrations/${f}`);

package/dist/db/migrate.js

@@ -13,20 +13,23 @@
 // 트랜잭션: postgres 는 트랜잭셔널 DDL 이라 각 단계가 원자적. mysql/mariadb 는
 // DDL 이 autocommit 이라 순차 실행하고 이력만 남긴다(§4.5 방언 차이).
 import { sql } from 'kysely';
-import { computeMigration, renderUp, renderDown } from '@gaonjs/data';
+import { computeMigration, renderUp, renderDown, summarizeOp, DEFERRED_DROP_KINDS } from '@gaonjs/data';
 import { resolveDbTarget } from './resolve.js';
 import { ensureJournal, journalExists, recordEntry } from './journal.js';
 import { listMigrationFiles, replayPending, rollbackLast } from './replay.js';
-function opSummary(op) {
+/** drop 계열 부속 op 을 사람이 읽는 한 줄로 — 크게 알리는 note 용. */
+function describeDeferred(op) {
     switch (op.kind) {
-        case 'createTable':
-            return { kind: op.kind, table: op.table.name };
-        case 'dropTable':
-            return { kind: op.kind, table: op.name };
-        case 'addColumn':
-        case 'dropColumn':
-        case 'alterColumn':
-            return { kind: op.kind, table: op.table, column: op.column };
+        case 'dropUnique':
+            return `unique(${op.name}: ${op.columns.join(', ')})`;
+        case 'dropIndex':
+            return `index(${op.name})`;
+        case 'dropCheck':
+            return `check(${op.name})`;
+        case 'dropDefault':
+            return `default(${op.table}.${op.column})`;
+        default:
+            return op.kind;
     }
 }
 /** 배치 식별자 — 초 단위 epoch + 적용 문수. 사람도 읽고 정렬도 된다. */
@@ -55,24 +58,31 @@ export async function runDbMigrate(opts) {
             dryRun: opts.dryRun,
         });
         // 2) schema-diff — replay 이후 상태를 다시 읽어 나머지를 계산.
-        // 합성형(결정 39): migrate 는 스키마에 없는 테이블을 **자동 DROP 하지 않는다**
-        // — replay(파일 마이그)가 만든 테이블·외부 테이블을 보호한다. 테이블 제거는
-        // 손작성 마이그(down 포함)로 한다. dropTable 은 'gaon db diff' 가 계속 보여준다.
+        // 합성형(결정 39·220): migrate 는 **drop 계열(테이블·unique·index·check·default 제거)을
+        // 자동 적용하지 않는다** — replay 가 만든/외부 객체·수동 추가한 제약을 보호한다. 제거는
+        // 손작성 마이그로 하고, 'gaon db diff' 가 계속 보여준다(조용히 넘어가지 않는다). ADD·SET
+        // (unique·index·check·default 추가)은 자동 적용해 "조용한 no-op"(결정 220 배경)을 없앤다.
         const full = await computeMigration(target.db, target.tables, target.dialect);
         const droppedTables = full.ops
             .filter((o) => o.kind === 'dropTable')
             .map((o) => o.name);
-        const schemaOps = full.ops.filter((o) => o.kind !== 'dropTable');
+        const deferredDrops = full.ops.filter((o) => o.kind !== 'dropTable' && DEFERRED_DROP_KINDS.has(o.kind));
+        const schemaOps = full.ops.filter((o) => !DEFERRED_DROP_KINDS.has(o.kind));
         const plan = {
             ops: schemaOps,
             up: renderUp(schemaOps, target.dialect),
             down: renderDown(schemaOps, target.dialect),
         };
-        const ops = plan.ops.map(opSummary);
-        const dropNote = droppedTables.length > 0
+        const ops = plan.ops.map(summarizeOp);
+        const tableDropNote = droppedTables.length > 0
             ? `  ℹ 스키마에 없는 테이블 ${droppedTables.length}개는 자동 DROP 하지 않았습니다: ${droppedTables.join(', ')}\n` +
                 `    → 제거하려면 손작성 마이그(down 포함)를 쓰거나, 'gaon db diff' 로 계획을 확인하세요.`
             : '';
+        const auxDropNote = deferredDrops.length > 0
+            ? `  ℹ 스키마에서 사라진 제약·인덱스·기본값 ${deferredDrops.length}개는 자동 제거하지 않았습니다: ${deferredDrops.map(describeDeferred).join(', ')}\n` +
+                `    → 제거하려면 'gaon db diff' 로 down SQL 을 확인해 손작성 마이그로 적용하세요.`
+            : '';
+        const dropNote = [tableDropNote, auxDropNote].filter(Boolean).join('\n');
         const replayLine = replay.applied.length > 0
             ? `  [${opts.dbKey}] 마이그레이션 파일 ${replay.applied.length}개 실행: ${replay.applied.join(', ')}`
             : replay.pending.length > 0 && opts.dryRun
@@ -85,6 +95,7 @@ export async function runDbMigrate(opts) {
             pendingMigrations: replay.pending,
             migrationFiles: replay.all,
             skippedDropTables: droppedTables,
+            skippedDrops: deferredDrops.map(summarizeOp),
         };
         const prefixLines = (body) => (replayLine ? replayLine + '\n' : '') + (dropNote ? dropNote + '\n' : '') + body;
         // schema 변경이 없다 — replay 만 있었을 수 있다. 성공으로 취급.

package/dist/doctor/fixers/index.js

@@ -55,9 +55,9 @@ export const FIXER_CAPABILITIES = [
         note: '수동 · `gaon db diff` → 리뷰 → `gaon db migrate` (SQL 은 사람이 확인).',
     },
     {
-        rule: 'shared-composable-purity',
+        rule: 'shared-purity',
         hasFixer: false,
-        note: '수동 · 컴포저블에 든 앱 종속 로직을 앱 쪽으로 옮겨야 합니다(E-5 §2.2).',
+        note: '수동 · shared(.ts·.vue)에 든 앱 종속 로직(api/pageProps·domain 값)을 앱 쪽으로 옮기거나 props/인자로 받으세요(E-5 §2.2 · 결정 217).',
     },
     {
         rule: 'no-auto-import',

package/dist/doctor/shared-purity.d.ts

@@ -0,0 +1,9 @@
+import type { DoctorCheck, RuleReport } from './types.js';
+/**
+ * 단일 shared 소스(.ts 원문 또는 .vue script 블록)를 검사해 순수성 위반
+ * 목록을 낸다(단위 테스트 진입점). file 확장자가 .vue 면 <script> 만 뽑아
+ * 파싱한다 — line 번호는 script 블록 기준(안내 정확도보다 위반 유무가 우선).
+ */
+export declare function inspectSharedSource(file: string, source: string, cwd: string): DoctorCheck[];
+/** shared/ 전체(.ts · .vue)를 훑어 순수성 위반을 모두 낸다. */
+export declare function checkSharedPurity(cwd: string): Promise<RuleReport>;

package/dist/doctor/shared-purity.js

@@ -0,0 +1,188 @@
+// @gaonjs/cli · doctor · shared 순수성 검사 (M9-E 확장 · 결정 217 · errata E-5 §2.2)
+//
+// shared/ 는 앱을 몰라야 한다(§5 · CLAUDE.md rule 5). 라우트를 몰라야 하고
+// (api·pageProps 값 import 금지) · domain 은 타입으로만 참조해야 한다. 필요한
+// 데이터·호출 함수는 props/인자로 받는다. 이 규칙은 shared 컴포저블뿐 아니라
+// shared 컴포넌트(.vue)에도 똑같이 적용된다 — 관례가 컴포저블·컴포넌트에 대칭
+// 이므로(결정 25) 검사도 한 규칙으로 통일한다(결정 217).
+//
+// 이력: M9-E 때는 `shared-composable-purity` 라는 이름으로 shared/composables/
+// 의 .ts 만 훑었다. 그러나 shared/components/*.vue 안에서 domain 모델을 값으로
+// import 해도 27 검사가 전부 통과하는 공백이 12차 실사용(support-desk)에서 드러났다
+// (§4.5 잔재). 결정 217: 규칙명을 `shared-purity` 로 개정하고 검사 범위를
+// shared/ 전체(.ts · .vue)로 넓혀 The One Way 로 통일한다.
+//
+// 검사 대상(파일 종류 무관):
+//  1) 프레임웍 모듈(gaonjs · gaonjs/vue · @gaonjs/vue · @gaonjs/web) 에서
+//     'api' · 'pageProps' 를 value import 하면 error.
+//     - type-only 는 무해(구조 참조뿐 · 라우트 지식 필요 없음).
+//  2) domain 을 value import 하면 error.
+//     - type-only 는 허용(모델 Row 타입 등 · 순수 타입 참조).
+//
+// 방법: shared/ 아래 .ts 는 소스 그대로, .vue 는 <script> 블록만 뽑아 TS AST 로
+// 파싱해 import 선언만 훑는다. 상대 import 는 실 파일까지 해석하지 않고 경로
+// 접두사(domain/) 로 판정 — 이 검사는 순수성 게이트라 정확도보다 재현성이 우선
+// (false positive 는 오히려 안전).
+import { readdir, readFile } from 'node:fs/promises';
+import { join, relative, resolve, dirname } from 'node:path';
+import ts from 'typescript';
+/** 라우트 지식을 담은 심볼 — shared 는 참조할 수 없다. */
+const FORBIDDEN_FRAMEWORK_NAMES = new Set(['api', 'pageProps']);
+/**
+ * 프레임웍 모듈 패턴. 문서 표기(gaon/vue)는 실 패키지 이름의 짧은
+ * 별칭이며, 실 배포본은 gaonjs 파사드 subpath 와 @gaonjs 스코프를 쓴다.
+ * 하나만 잡으면 우회가 쉬우므로 알려진 표기 3종을 모두 매치한다.
+ */
+const FRAMEWORK_MODULE_PATTERNS = [
+    /^gaonjs$/,
+    /^gaonjs\/vue$/,
+    /^@gaonjs\/vue$/,
+    /^@gaonjs\/web$/,
+];
+/** import 선언에서 이름과 type-only 플래그를 추출한다. */
+function collectImportedNames(node) {
+    const out = [];
+    const clause = node.importClause;
+    if (!clause)
+        return out;
+    const clauseTypeOnly = clause.isTypeOnly;
+    if (clause.name)
+        out.push({ name: clause.name.text, typeOnly: clauseTypeOnly });
+    const bindings = clause.namedBindings;
+    if (bindings) {
+        if (ts.isNamespaceImport(bindings)) {
+            out.push({ name: bindings.name.text, typeOnly: clauseTypeOnly });
+        }
+        else if (ts.isNamedImports(bindings)) {
+            for (const el of bindings.elements) {
+                out.push({ name: el.name.text, typeOnly: clauseTypeOnly || el.isTypeOnly });
+            }
+        }
+    }
+    return out;
+}
+function isRelativeSpecifier(s) {
+    return s.startsWith('./') || s.startsWith('../');
+}
+function matchesFrameworkModule(spec) {
+    return FRAMEWORK_MODULE_PATTERNS.some((re) => re.test(spec));
+}
+/**
+ * .vue SFC 에서 <script>·<script setup> 블록 안 텍스트만 뽑아 하나로 잇는다.
+ * doctor 는 import 선언만 보므로 script 밖(<template>·<style>)은 무시한다.
+ * 두 블록(일반+setup)이 다 있을 수 있어 전부 이어 붙인다.
+ */
+function extractVueScript(source) {
+    const blocks = [];
+    const re = /<script\b[^>]*>([\s\S]*?)<\/script>/g;
+    let m;
+    while ((m = re.exec(source)) !== null)
+        blocks.push(m[1] ?? '');
+    return blocks.join('\n');
+}
+/**
+ * 단일 shared 소스(.ts 원문 또는 .vue script 블록)를 검사해 순수성 위반
+ * 목록을 낸다(단위 테스트 진입점). file 확장자가 .vue 면 <script> 만 뽑아
+ * 파싱한다 — line 번호는 script 블록 기준(안내 정확도보다 위반 유무가 우선).
+ */
+export function inspectSharedSource(file, source, cwd) {
+    const issues = [];
+    const rel = relative(cwd, file);
+    const code = file.endsWith('.vue') ? extractVueScript(source) : source;
+    const sf = ts.createSourceFile(file, code, ts.ScriptTarget.ES2022, true);
+    const baseDir = dirname(file);
+    const visit = (node) => {
+        if (ts.isImportDeclaration(node) && ts.isStringLiteral(node.moduleSpecifier)) {
+            const spec = node.moduleSpecifier.text;
+            const { line } = sf.getLineAndCharacterOfPosition(node.getStart(sf));
+            const names = collectImportedNames(node);
+            // 1) 프레임웍의 api/pageProps 를 value import → error
+            if (matchesFrameworkModule(spec)) {
+                for (const n of names) {
+                    if (n.typeOnly)
+                        continue; // type-only 는 라우트 실행 지식이 아님
+                    if (!FORBIDDEN_FRAMEWORK_NAMES.has(n.name))
+                        continue;
+                    issues.push({
+                        rule: 'shared-purity',
+                        level: 'error',
+                        file: rel,
+                        line: line + 1,
+                        message: `${rel} (line ${line + 1})\n` +
+                            `  '${spec}' 의 '${n.name}' import 발견 · shared 는 라우트를 몰라야 함\n` +
+                            `→ 옵션: apps/<앱>/ 로 옮기거나 · ${n.name} 결과를 props/인자로 받도록 바꾸라`,
+                        detail: {
+                            kind: 'framework-api',
+                            module: spec,
+                            name: n.name,
+                        },
+                    });
+                }
+            }
+            // 2) domain value import → error (type-only 는 허용)
+            if (isRelativeSpecifier(spec)) {
+                const abs = resolve(baseDir, spec);
+                const parts = relative(cwd, abs).split(/[\\/]/).filter(Boolean);
+                if (parts[0] === 'domain') {
+                    const valueNames = names.filter((n) => !n.typeOnly);
+                    if (valueNames.length > 0) {
+                        issues.push({
+                            rule: 'shared-purity',
+                            level: 'error',
+                            file: rel,
+                            line: line + 1,
+                            message: `${rel} (line ${line + 1})\n` +
+                                `  domain 값 import 발견 · shared 는 domain 을 타입으로만 참조해야 함\n` +
+                                `→ 'import type { ... } from ...' 형태로 바꾸거나 · 필요한 값은 props/인자로 받도록 바꾸라`,
+                            detail: {
+                                kind: 'domain-value',
+                                module: spec,
+                                names: valueNames.map((n) => n.name),
+                            },
+                        });
+                    }
+                }
+            }
+        }
+        ts.forEachChild(node, visit);
+    };
+    visit(sf);
+    return issues;
+}
+/** shared/ 전체(.ts · .vue)를 훑어 순수성 위반을 모두 낸다. */
+export async function checkSharedPurity(cwd) {
+    const sharedDir = join(cwd, 'shared');
+    const files = [];
+    await collectSharedFiles(sharedDir, files);
+    const issues = [];
+    for (const file of files) {
+        const src = await readFile(file, 'utf8');
+        issues.push(...inspectSharedSource(file, src, cwd));
+    }
+    return { rule: 'shared-purity', issues };
+}
+async function collectSharedFiles(root, out) {
+    let entries;
+    try {
+        entries = (await readdir(root, { withFileTypes: true }));
+    }
+    catch {
+        return;
+    }
+    for (const e of entries) {
+        const name = e.name;
+        if (name === 'node_modules' || name === 'dist' || name === '.gaon')
+            continue;
+        const full = join(root, name);
+        if (e.isDirectory())
+            await collectSharedFiles(full, out);
+        else if (e.isFile() && isScannable(name))
+            out.push(full);
+    }
+}
+/** shared 순수성 검사 대상 파일인가 — .ts(선언·테스트 제외) 또는 .vue. */
+function isScannable(name) {
+    if (name.endsWith('.vue'))
+        return true;
+    return name.endsWith('.ts') && !name.endsWith('.d.ts') && !name.endsWith('.test.ts');
+}

package/dist/doctor/types.d.ts

@@ -1,4 +1,4 @@
-export type DoctorRule = 'response-mixing' | 'n-plus-one' | 'dependency-direction' | 'connections' | 'migration-diff' | 'shared-composable-purity' | 'no-auto-import' | 'schema-filename' | 'agents-doc-index' | 'column-casing' | 'model-filename' | 'page-filename' | 'auth-wiring' | 'ui-kit-wiring' | 'route-registration' | 'static-collision' | 'method-override' | 'csrf-wiring' | 'internal-anchor' | 'pageprops-destructure' | 'async-offload' | 'page-layout-breakpoint' | 'link-button-nesting' | 'seal-security' | 'schema-relations' | 'no-import-meta-env' | 'locale-parity';
+export type DoctorRule = 'response-mixing' | 'n-plus-one' | 'dependency-direction' | 'connections' | 'migration-diff' | 'shared-purity' | 'no-auto-import' | 'schema-filename' | 'agents-doc-index' | 'column-casing' | 'model-filename' | 'page-filename' | 'auth-wiring' | 'ui-kit-wiring' | 'route-registration' | 'static-collision' | 'method-override' | 'csrf-wiring' | 'internal-anchor' | 'pageprops-destructure' | 'async-offload' | 'page-layout-breakpoint' | 'link-button-nesting' | 'seal-security' | 'schema-relations' | 'no-import-meta-env' | 'locale-parity';
 export type DoctorLevel = 'passed' | 'warning' | 'error';
 export interface DoctorCheck {
     readonly rule: DoctorRule;

package/dist/doctor.d.ts

@@ -7,7 +7,7 @@ export { extractRelativeImports, checkDependencyDirection } from './doctor/depen
 export { extractConfigDbKeys, analyzeConfigDb, extractKeyUses, checkConnections, } from './doctor/connections.js';
 export { checkSchemaRelations } from './doctor/schema-relations.js';
 export { scanSchema, checkMigrationDiff } from './doctor/migration-diff.js';
-export { inspectSharedComposable, checkSharedComposablePurity, } from './doctor/shared-composable-purity.js';
+export { inspectSharedSource, checkSharedPurity, } from './doctor/shared-purity.js';
 export { inspectConfigForAutoImport, inspectPackageJson, checkNoAutoImport, } from './doctor/no-auto-import.js';
 export { expectedSchemaStem, extractTableName, checkSchemaFilename, } from './doctor/schema-filename.js';
 export { extractAgentDocRefs, checkAgentsDocIndex } from './doctor/agents-doc-index.js';

package/dist/doctor.js

@@ -7,7 +7,7 @@
  *  3) dependency-direction (CLAUDE.md §5 · 4 규칙)
  *  4) connections (v0.15 §4.5)
  *  5) migration-diff (최소 감지 · 상세는 M9-D)
- *  6) shared-composable-purity (errata E-5 §2.2 · 결정 25)
+ *  6) shared-purity (errata E-5 §2.2 · 결정 25·217 · shared/ 전체 .ts·.vue)
  *  7) no-auto-import (errata E-5 §2.4 · v0.15 §1.2)
  *  8) schema-filename (§1.1 · 결정 38 · 스키마 파일명 camelCase)
  *  9) agents-doc-index (§0 색인 ↔ agents/ 실 파일 · 결정 40)
@@ -47,7 +47,7 @@ import { checkDependencyDirection } from './doctor/dependency-direction.js';
 import { checkConnections } from './doctor/connections.js';
 import { checkSchemaRelations } from './doctor/schema-relations.js';
 import { checkMigrationDiff } from './doctor/migration-diff.js';
-import { checkSharedComposablePurity } from './doctor/shared-composable-purity.js';
+import { checkSharedPurity } from './doctor/shared-purity.js';
 import { checkNoAutoImport } from './doctor/no-auto-import.js';
 import { checkSchemaFilename } from './doctor/schema-filename.js';
 import { checkAgentsDocIndex } from './doctor/agents-doc-index.js';
@@ -78,7 +78,7 @@ export { extractRelativeImports, checkDependencyDirection } from './doctor/depen
 export { extractConfigDbKeys, analyzeConfigDb, extractKeyUses, checkConnections, } from './doctor/connections.js';
 export { checkSchemaRelations } from './doctor/schema-relations.js';
 export { scanSchema, checkMigrationDiff } from './doctor/migration-diff.js';
-export { inspectSharedComposable, checkSharedComposablePurity, } from './doctor/shared-composable-purity.js';
+export { inspectSharedSource, checkSharedPurity, } from './doctor/shared-purity.js';
 export { inspectConfigForAutoImport, inspectPackageJson, checkNoAutoImport, } from './doctor/no-auto-import.js';
 export { expectedSchemaStem, extractTableName, checkSchemaFilename, } from './doctor/schema-filename.js';
 export { extractAgentDocRefs, checkAgentsDocIndex } from './doctor/agents-doc-index.js';
@@ -110,7 +110,7 @@ export const ALL_RULES = [
     'dependency-direction',
     'connections',
     'migration-diff',
-    'shared-composable-purity',
+    'shared-purity',
     'no-auto-import',
     'schema-filename',
     'agents-doc-index',
@@ -139,7 +139,7 @@ const CHECKERS = {
     'dependency-direction': checkDependencyDirection,
     connections: checkConnections,
     'migration-diff': checkMigrationDiff,
-    'shared-composable-purity': checkSharedComposablePurity,
+    'shared-purity': checkSharedPurity,
     'no-auto-import': checkNoAutoImport,
     'schema-filename': checkSchemaFilename,
     'agents-doc-index': checkAgentsDocIndex,

package/dist/generate.js

@@ -33,6 +33,20 @@ const TEMPLATE_DIR = join(dirname(fileURLToPath(import.meta.url)), 'templates',
 function urlPrefixFor(app) {
     return app === 'web' ? '' : `/${app}`;
 }
+/**
+ * 결정 219: `~ 패치` 라벨을 파일별 실제 편집 내용으로 정확히 붙인다. patchEnvFiles·
+ * patchAppConfigAddAuth·patchRoutes 가 서로 다른 편집을 하는데 예전엔 전부 "라우트 추가"
+ * 로 라벨해 .env·app.config 편집을 오도했다(scaffold 로그 정확성).
+ */
+function patchLabel(rel) {
+    if (rel === '.env' || rel === '.env.example')
+        return '세션 secret 추가';
+    if (rel.endsWith('/app.config.ts') || rel === 'app.config.ts')
+        return '인증 배선 추가';
+    if (rel.endsWith('/routes.ts') || rel === 'routes.ts')
+        return '라우트 추가';
+    return '수정';
+}
 /**
  * 앱의 세션 secret 환경변수명 — web 은 'SESSION_SECRET'(기존), 그 외는
  * '<APP>_SESSION_SECRET'(결정 141 · 앱별 세션 완전 분리 · session.ts 는 앱마다
@@ -99,6 +113,9 @@ function renderTemplate(name, app, includePublic) {
         .replaceAll('{{APP_NAME}}', app)
         .replaceAll('{{URL_PREFIX}}', urlPrefixFor(app))
         .replaceAll('{{SESSION_SECRET_ENV}}', sessionSecretEnvFor(app))
+        // 결정 218: 시큐어 세션 컨트롤러의 로그인 역할 게이트 기준. 결정 155·145 의 대시보드
+        // 역할 게이트(role === 'admin')와 같은 값으로 고정해 두 층이 어긋나지 않게 한다.
+        .replaceAll('{{REQUIRED_ROLE}}', 'admin')
         .replaceAll('{{SIGNUP_LINK}}', includePublic ? signupLinkMarkup(app) : '');
 }
 /** 인증 스캐폴드가 생성하는 파일 목록(라우트 제외). 템플릿을 읽어 렌더링한다.
@@ -110,7 +127,13 @@ export function authScaffoldFiles(opts = {}) {
         { tpl: 'user.schema.ts.tpl', out: 'domain/schema/users.ts' },
         { tpl: 'user.model.ts.tpl', out: 'domain/models/User.ts' },
         { tpl: 'auth.wiring.ts.tpl', out: `apps/${app}/auth.ts` },
-        { tpl: 'session.controller.ts.tpl', out: `apps/${app}/controllers/session.ts` },
+        // 결정 218: 시큐어 앱은 로그인 시점에 역할을 검증하는 세션 컨트롤러를 깐다 — 고객이
+        // 인증만 통과해 세션을 얻은 뒤 대시보드에서 403 을 만나는 rough UX 를 진입점에서 막는다.
+        // 공개 앱(web 등)은 역할 개념이 없어 표준 세션 컨트롤러(로그인 = 세션 생성)를 쓴다.
+        {
+            tpl: includePublic ? 'session.controller.ts.tpl' : 'session.secure.controller.ts.tpl',
+            out: `apps/${app}/controllers/session.ts`,
+        },
         // 결정 155: 시큐어(비-web · 비-public) 앱은 역할 게이트 대시보드, 공개 앱은 requireAuth 대시보드.
         {
             tpl: includePublic ? 'dashboard.controller.ts.tpl' : 'dashboard.secure.controller.ts.tpl',
@@ -266,14 +289,16 @@ export function writeAuthScaffold(cwd, opts = {}) {
     // 결정 155·142(W3): 앱별 세션 secret 을 .env·.env.example 에 시드한다. web 은 이미
     // 있어 멱등, 비-web 앱은 여기서 키가 심어져 "공개 고정 dev secret 폴백" 표면을 막는다.
     patched.push(...patchEnvFiles(root, app));
-    // 결정 155: 시큐어 앱(공개 가입 미생성)은 역할 게이트 대시보드를 깔았다 — role 컬럼을
-    // 두라고 안내한다(§7.5.3 · authorize 예시가 실제 역할 규칙이 되도록).
+    // 결정 155·218: 시큐어 앱(공개 가입 미생성)은 로그인 시점 역할 게이트 세션 컨트롤러 +
+    // 역할 게이트 대시보드를 깔았다 — 두 층 다 role 컬럼이 있어야 동작하므로 추가를 안내한다
+    // (§7.5.3 · authorize·로그인 게이트 예시가 실제 역할 규칙이 되도록).
     if (!includePublic) {
-        warnings.push(`apps/${app}/ 는 시큐어 스캐폴드입니다(공개 회원가입 미생성 · 결정 155).\n` +
+        warnings.push(`apps/${app}/ 는 시큐어 스캐폴드입니다(공개 회원가입 미생성 · 결정 155·218).\n` +
             `→ 관리자는 직접 만들거나 승격하세요(공개 가입 라우트 없음). 공개 가입이 필요하면 --public 로 다시 생성.\n` +
             `→ 역할 인가를 완성하려면 domain/schema/users.ts 에 role 컬럼을 추가하세요:\n` +
             `   role: t.string().default('user'),\n` +
-            `   그러면 apps/${app}/controllers/dashboard.ts 의 authorize(역할) 게이트가 실제 역할로 동작합니다.`);
+            `   그러면 로그인(controllers/session.ts)이 역할 부족 시 세션을 만들지 않고,\n` +
+            `   apps/${app}/controllers/dashboard.ts 의 authorize(역할) 게이트도 실제 역할로 동작합니다.`);
     }
     return { created: created.sort(), skipped: skipped.sort(), patched: patched.sort(), warnings };
 }
@@ -292,8 +317,10 @@ export function runGenerateAuthCommand(opts = {}) {
     lines.push('');
     for (const f of result.created)
         lines.push(`   + ${f}`);
+    // 결정 219: 패치 대상은 파일마다 편집 내용이 다르다 — routes.ts(라우트) · app.config.ts(인증
+    // 배선) · .env(세션 secret). 전부 "라우트 추가" 로 라벨하면 .env·app.config 편집을 오도한다.
     for (const f of result.patched)
-        lines.push(`   ~ ${f} (라우트 추가)`);
+        lines.push(`   ~ ${f} (${patchLabel(f)})`);
     for (const f of result.skipped)
         lines.push(`   · ${f} (이미 있음 — 건너뜀)`);
     for (const w of result.warnings)

package/dist/templates/auth/session.secure.controller.ts.tpl

@@ -0,0 +1,46 @@
+// 세션 컨트롤러(로그인/로그아웃 · 관리 앱) — gaon g auth --app {{APP_NAME}}.
+// 시큐어 앱은 로그인 **시점**에 역할을 검증한다(결정 218). 인증(비밀번호)만 통과한
+// 고객이 세션을 얻은 뒤 대시보드에서야 403 을 만나는 rough UX 를 진입점에서 막는다:
+//   · 자격 증명이 틀리면       → 인증 실패(401 성격) · 세션 안 만듦 · 재렌더
+//   · 자격은 맞지만 역할 부족  → 인가 실패(403 성격) · 세션 안 만듦 · 재렌더
+// 401 vs 403 을 메시지로 구분한다 — 어느 쪽도 세션을 만들지 않는다.
+import { controller, verifyPassword } from 'gaonjs/web'
+import { User } from '../../../domain/models/User.js'
+
+// 이 앱에 로그인할 수 있는 역할. domain/schema/users.ts 에 role 컬럼을 두고
+// (예: role: t.string().default('user')) 관리자에게 '{{REQUIRED_ROLE}}' 을 부여하세요.
+const REQUIRED_ROLE = '{{REQUIRED_ROLE}}'
+
+export default controller({
+  // GET {{URL_PREFIX}}/session/new — 로그인 폼. csrf 는 자동 주입되므로 넘기지 않는다(결정 116).
+  async new() {
+    return this.render('Auth/Login', { error: null as string | null })
+  },
+  // POST {{URL_PREFIX}}/session — 로그인 + 역할 게이트
+  async create() {
+    const { email, password } = this.params({ _row: {} as { email: string; password: string } })
+    const user = await User.where('email', '=', email).first()
+    // 인증(401 성격): 자격 증명이 틀리면 세션을 만들지 않고 같은 폼을 재렌더한다.
+    // passwordDigest 는 hidden 이지만 서버 코드에서는 투명하게 읽힌다(§4.2).
+    if (!user || !(await verifyPassword(password, user.passwordDigest))) {
+      return this.render('Auth/Login', {
+        error: '이메일 또는 비밀번호가 올바르지 않습니다.' as string | null,
+      })
+    }
+    // 인가(403 성격): 자격은 맞지만 역할이 부족하면 세션을 만들지 않고 재렌더한다.
+    // 고객이 "로그인은 됐는데 403" 을 겪지 않도록 진입점에서 막는다(결정 218 · 결정 155·145 의
+    // 대시보드 역할 게이트와 정합 — 여기서 세션 자체를 안 만들어 관리 앱을 깨끗이 격리).
+    if ((user as { role?: string }).role !== REQUIRED_ROLE) {
+      return this.render('Auth/Login', {
+        error: '이 앱에 접근할 권한이 없습니다.' as string | null,
+      })
+    }
+    this.auth.login(user)
+    return this.redirect('{{URL_PREFIX}}/dashboard')
+  },
+  // DELETE {{URL_PREFIX}}/session — 로그아웃
+  async destroy() {
+    this.auth.logout()
+    return this.redirect('{{URL_PREFIX}}/session/new')
+  },
+})

package/dist/templates/project/AGENTS.md.tpl

@@ -76,8 +76,9 @@ Gaon 의 제1 설계 목표는 **"AI 가 개발을 가장 잘하는 프레임웍
    `router.delete(...)` 등). REST + `fetch()` 는 **API 앱(JWT) 전용**.
 7. **한 액션은 한 종류 응답만** (render 또는 JSON 또는 redirect —
    혼용 금지 · doctor response-mixing).
-8. **`.gaon/` 자동 생성 파일 편집 금지** — `routes.d.ts`·`tables.d.ts`
-   는 `gaon check`/`gaon dev` 가 재생성한다.
+8. **`.gaon/` 자동 생성 파일 편집 금지** — `routes.d.ts`·`tables.d.ts`·
+   `messages.d.ts`(3축 · `locales/` 있을 때 · 결정 158) 는 `gaon check`/
+   `gaon dev` 가 재생성한다.
 
 ### 2.1 파일 네이밍 표 (2026-07-24 승인 · 벤치마크 R1 실측 고정)
 
@@ -115,7 +116,7 @@ Gaon 의 제1 설계 목표는 **"AI 가 개발을 가장 잘하는 프레임웍
 3. `dependency-direction` — 의존 방향 4규칙 위반
 4. `connections` — 스키마·`getConnection` 이 쓰는 커넥션 키가 `gaon.config.ts` 에 등록됐는지 · db 설정 정적 분석(삼항·`??` 지원 · 못 읽으면 안내) (§4.5 · 결정 135)
 5. `migration-diff` — 스키마 vs DB 상태 불일치
-6. `shared-composable-purity` — shared 안 `api`/`pageProps` import (결정 25)
+6. `shared-purity` — shared/ 전체(.ts·.vue)가 `api`/`pageProps`·domain 값을 import (컴포저블·컴포넌트 통일 · 결정 25·217)
 7. `no-auto-import` — 자동 import 설정 (E-5 §2.4)
 8. `schema-filename` — 스키마 파일명 camelCase 관례 (결정 38 · `--fix` 지원)
 9. `agents-doc-index` — 이 문서 색인(§0) ↔ `agents/` 실 파일 불일치 (결정 40)

package/dist/templates/project/agents/data.md.tpl

@@ -348,7 +348,14 @@ const rows = await Post.query()
   대상을 **에러**로 잡는다(배포 후 raw postgres 에러 대신 `gaon doctor` 에서).
   커넥션 키 등록 정합은 **connections** 검사가 본다.
 - **`service()` 트랜잭션은 단일 커넥션에서만 원자적** — Gaon 은 분산
-  트랜잭션을 흉내 내지 않는다(§9 정본).
+  트랜잭션을 흉내 내지 않는다(§9 정본). 열린 트랜잭션 안에서 다른
+  커넥션에 **쓰기**(create·update·delete)를 하면 **런타임에 throw**된다
+  (조용한 부분 커밋 방지 · fail-closed · 결정 221). **읽기는 예외**(다른
+  커넥션 조회는 자유). 커넥션 간 쓰기는 아래처럼 커밋 뒤 `afterCommit`
+  으로 잇는다. 중첩 `service({ db })`·`transaction:false`·`afterCommit`
+  은 자기 경계라 정상이다. (한계: model·`Post.query()`·`getConnection()`
+  쓰기는 가드가 잡지만, `kysely` 에서 직접 import 한 `sql``` raw SQL 쓰기는
+  못 잡는다 — 크로스커넥션 raw 쓰기는 직접 피한다.)
 - **마이그레이션은 전 커넥션에 걸린다** — `gaon db migrate`(인자 없음)는 등록된
   **모든** 커넥션을 순회 적용한다(결정 139 · One Way — 커넥션 하나를 잊어 빈 채
   배포하는 사고 방지). 한 커넥션만 좁히려면 `gaon db migrate --db legacy`.
@@ -662,6 +669,24 @@ diff/migrate/status/seed 는 `--db` 를 생략하면 **등록된 전 커넥션
   테이블 보호 · 자동 apply 의 데이터 손실 배제). 테이블 제거는 손작성 마이그의
   `down`(또는 명시적 마이그)으로 한다. `gaon db diff` 는 dropTable 을 계속
   미리 보여주고, migrate 는 건너뛴 테이블을 크게 알린다(조용한 무시 방지).
+- **스키마 diff 는 컬럼 타입·널뿐 아니라 제약·인덱스·기본값 변경도 잡는다**
+  (결정 220). 기존 테이블 컬럼에 `.unique()`·`.index()`·`.default()`·`.check()`
+  추가나 `t.enum([...])` 값 목록 변경을 하면 diff 가 감지해 **추가(ADD·SET)는
+  migrate 가 자동 적용**한다(예: `email` 에 `.unique()` 추가 → `ADD CONSTRAINT
+  … UNIQUE` 생성). **제거(제약·인덱스·기본값을 스키마에서 뗌)는 자동 적용하지
+  않고** dropTable 처럼 크게 알린다 — 제거는 `gaon db diff` 의 down SQL 을 보고
+  손작성 마이그로 적용한다(수동/외부 제약 보호 · 결정 39 정합). **한계**: 임의
+  `.check(expr)` 의 **표현식만** 바꾸는 변경(같은 컬럼·같은 제약, 식만 수정)은
+  Postgres 가 표현식을 정규화해 신뢰 비교가 불가능하므로 **감지하지 못한다** —
+  이 경우 컬럼을 갈거나 손작성 마이그로 CHECK 를 drop→add 한다. (enum 값 변경과
+  제약 **추가/제거** 는 정상 감지된다.) 마찬가지로 **기본값의 값 변경** 중 일부는
+  미검출된다 — **시간 타입**(`t.datetime()`·`t.date()`·`t.time()`)의 기본값 값 변경과
+  선행 0 문자열(`'007'` 류)의 값 변경은, Postgres 가 리터럴을 재포맷·정규화해 신뢰
+  비교가 안 되므로 **존재만 비교**한다(값이 바뀌어도 no-op). 허위 diff(멱등 붕괴)보다
+  미검출(undershoot)이 안전하다는 원칙 — 값 변경이 필요하면 손작성 마이그로 `ALTER
+  COLUMN … SET DEFAULT` 를 쓴다. (기본값 **추가/제거**·스칼라(bool·정수·문자열·enum)
+  값 변경은 정상 감지된다.) 이 제약·기본값 diff 는 postgres 커넥션 기준이다
+  (mysql=legacy §4.5 는 aux introspect 미지원 → 이 diff 생략).
 - 마이그레이션은 커넥션별로 돈다(§7 · `--db <키>`).
 
 ### 10.1 시드 — `domain/seed.ts` · `seed()` (§7)

package/dist/templates/project/agents/frontend.md.tpl

@@ -103,8 +103,11 @@ async function search(q: string) {
   반환하면 그 타입 그대로, render 액션이면 render props 타입이 온다.
 - **실패** — 4xx/5xx 는 예외로 던진다. 422(`ValidationError`)는
   `err.body` 에 검증 이슈가 실려 있다.
-- **CSRF** — 세션 앱은 `<meta name="csrf-token">` 값을 자동으로
-  `X-CSRF-Token` 헤더에 붙인다 (`agents/security.md`).
+- **CSRF** — 세션 앱은 상태 변경 요청(POST/PUT/PATCH/DELETE)에 CSRF 토큰을
+  자동으로 `X-CSRF-Token` 헤더에 붙인다(손수 넘길 필요 없음 · 결정 166). 정본
+  출처는 data-page 의 `props.csrf` 공유 prop(결정 116 · `useForm({ _csrf: shared.csrf })`
+  와 **같은 단일 출처**)이고, `<meta name="csrf-token">` 은 레거시 폴백이다(표준 셸은
+  안 내지만 앱이 손수 넣었으면 존중 · `packages/vue/src/api.ts` · `agents/security.md`).
 
 ### 3. bigint PK 식별자 — 컨트롤러에서 `String()` 정규화 (결정 37)
 
@@ -153,15 +156,17 @@ shared/composables/useDebounce.ts      # 앱 간 공용 컴포저블 (순수 로
 | 컴포넌트 | 자유 (pageProps·api 사용 가능) | props 로만 받는 순수 UI |
 | 컴포저블 | 자유 (api·채널 래핑 가능) | 인자로만 받는 순수 로직 |
 
-**shared 컴포저블 제약:**
+**shared 순수성 제약 (컴포저블·컴포넌트 공통):**
 
 - **라우트를 몰라야 한다** — `api()`·`pageProps()` 호출 금지.
   `.gaon/routes.d.ts` 는 앱별 생성이므로 구조적으로도 불가능하다.
-- 필요한 데이터·호출 함수는 **인자로 받는다** (순수 로직).
+- 필요한 데이터·호출 함수는 **props/인자로 받는다** (순수 로직·순수 UI).
 - domain 은 **타입 import 만** 허용.
 
-`gaon doctor` 의 **shared-composable-purity** 검사가 shared 안에서
-`gaonjs/vue` 의 `api`/`pageProps` import 를 잡는다.
+`gaon doctor` 의 **shared-purity** 검사가 `shared/` 전체(`.ts` 컴포저블 +
+`.vue` 컴포넌트)에서 `gaonjs/vue` 의 `api`/`pageProps` 값 import 와 domain
+값 import 를 잡는다 (결정 217 — 컴포저블·컴포넌트 한 규칙으로 통일 · `.vue` 는
+`<script>` 블록을 훑는다).
 
 **shared 컴포넌트(UI 킷 §8)의 허용/금지도 같은 기준(결정 25·105):** 허용 = 라우트 키와
 무관한 범용 API(`useForm`·`Link`·`router`) · 금지 = 앱 라우트 지식(`api()`·`pageProps`).
@@ -395,8 +400,8 @@ async function runSearch(q: string) {
   경계 우회로 타입 안전 붕괴.
 - **`api()` 에 제네릭 인자 직접 붙이지 않는다** — key 리터럴이 타입을
   결정한다.
-- **shared 컴포넌트/컴포저블에서 `pageProps`/`api` 호출 금지** — doctor
-  shared-composable-purity 위반. 데이터는 props/인자로.
+- **shared 컴포넌트/컴포저블에서 `pageProps`/`api` 호출·domain 값 import 금지** —
+  doctor **shared-purity** 위반(`.ts`·`.vue` 공통 · 결정 217). 데이터는 props/인자로.
 - **Vue 페이지에서 `fetch()` 로 폼 구현 금지** — 세션 앱 폼은
   `gaonjs/vue` 의 `useForm(...).post()` (`agents/web.md` §4 · 결정 64).
 - **내부 경로 일반 `<a href="/...">` 금지** — 클릭마다 전체 문서를 다시
@@ -456,6 +461,7 @@ async function runSearch(q: string) {
 | 결정 109 | 서버 스키마 검증 실패 → `form.errors.<field>` 자동 반영(303 back + 플래시 · `agents/web.md` §4.1) |
 | 결정 113 | 버튼 모양 링크 = `<Button href>`(Link 로 Button 감싸지 않음 · `<a><button>` 중첩 방지 · doctor link-button-nesting) |
 | 결정 116 | 공유 prop(currentUser·csrf·flash) 자동 주입 · `useShared()` 로 읽기(라우트 키 불요 · `agents/web.md`) |
+| 결정 166 | `api()` CSRF 자동 부착 = data-page `props.csrf`(결정 116 과 같은 단일 출처) · `<meta name="csrf-token">` 은 레거시 폴백(§2 · `packages/vue/src/api.ts`) |
 | 결정 150 | 앱 전역 공유 키 확장 — `app.config` sharedProps 등록 → useShared 로 읽기(코어 3종 고정 · 선언 병합 타입 · hidden 미유출 · `agents/web.md` §4.2) |
 | 결정 119 | `Pagination` 블록이 `chain.paginate()` 결과에 정합(`:page`·`:pageCount` 필드 그대로 · 매핑 0 · `agents/data.md`) |
 | 결정 198 | 클라 환경변수 접근자 `env`(gaonjs/vue · `.vue` 의 import.meta.env TS1470 회피) · VITE_* 접두만 노출·접두 제거 · `.gaon/env.d.ts`(.env 스캔) 타입 브리지 · doctor no-import-meta-env(§9) |

package/dist/templates/project/agents/seal.md.tpl

@@ -99,13 +99,22 @@ void createGaonApp({ pages, layouts, /* ... */ sealClient })
   네이티브 브라우저 form·정적 자산·HTML 직접 로드는 셋 다 없어 자동 면제된다.
 - **최초 문서 data-page**: 서버가 `<script data-page="app" data-gaon-sealed="1">` 로 봉인 + `<meta gaon-seal-ts>`.
   클라 `createGaonApp` 이 Inertia 마운트 **전**에 wasm 으로 개봉 → 소스 보기·개발자도구에 평문 props 미노출.
+  **봉인 대상은 sentinel 로 특정 (결정 224)**: 서버가 주입한 **진짜** data-page 만 `data-gaon-seal-target` sentinel
+  로 표시되고 봉인 정규식이 그것만 잡는다 — 스캐폴드 주석·유저 index.html 의 예시 data-page 리터럴(decoy)을 봉인하고
+  멈추던 first-match P0(진짜 data-page·props·CSRF 평문 유출)를 근본 차단한다. 봉인 후에도 평문 data-page 가 남으면
+  **렌더가 throw**(fail-closed 가드 · 조용한 유출 금지). 커스텀 rootTemplate 을 쓰더라도 data-page script 를 직접
+  만들지 말고 서버가 주입하게 둔다.
 - **WS 프레임 (결정 124 · §3.4)**: `useChannel` 이 `setWsFrameCodec`(seal 클라 `wsEncode`/`wsDecode`)로
   채널 송수신을 봉인한다. 송신 `E:<ts>:<base64>` · seal namespace 는 평문 `P:` 프레임 **거부**(requireDecrypt · 결정 121).
+  **수신은 서버·클라가 대칭 (결정 222)**: 서버 `SealWsTerminator` 도, 클라 `wsDecode` 도 `E:` 만 개봉하고 `P:`
+  평문·무prefix 프레임을 거부한다 — 클라 수신이 평문을 통과시키면(fail-open) 봉인 앱 클라가 주입된 평문을 그대로
+  소비해 봉인이 깨진다. 클라 개봉 실패는 조용히 무시하지 않고 소켓을 **4500 종료**(`useChannel` · 아래 fail-closed).
 - **자동 제외 / 옵트아웃**: 정적 자산·헬스체크·multipart 업로드 body·비대상(JSON 도 Inertia 도 아닌 HTML
   직접 로드·네이티브 form)은 **자동 제외**(사람 판단 없이 헤더 기계 판별 · 결정 125). 외부(웹훅 등)가 봉인을
   모르는 경로는 `seal: { except: ['/webhooks/*'] }`.
 - **fail-closed (403 · 결정 121)**: 봉인 강제 경로에 시그널 헤더 없이 온 요청, drift/replay/키 실패는
-  **403 SealError** — 평문 통과 절대 없음. WS 개봉 실패는 소켓 4500 종료(silent fallback 없음).
+  **403 SealError** — 평문 통과 절대 없음. WS 개봉 실패는 **서버·클라 모두 소켓 4500 종료**(결정 222 · silent
+  fallback 없음). 클라(`useChannel`)는 4500 이후 재연결하지 않는다(개봉 실패 = transient 아님 · 종단).
 
 ## 3. CSP (결정 124)
 
@@ -135,7 +144,11 @@ seal 앱 응답에만 `script-src` 에 `'wasm-unsafe-eval'` 을 **자동 주입*
 - **알고리즘**: AES-256-GCM(12-byte nonce · 16-byte tag) + nibble-swap XOR(0x5A) + base64 · 키 유도 =
   `SHA256(hex(HMAC-SHA256(masterSecret, "domain:path:uaSlice:timestamp")))` · per-frame keying(userId 미포함).
 - **replay 방어**: AES-GCM 12-byte nonce 를 `setIfNotExists`(Redis SETNX 대응) 캐시 + timestamp drift(±60s)로
-  차단. WS 기본은 drift 윈도우(고빈도라 프레임마다 SETNX 는 비용 과다 · 엄격 nonce 는 옵션 주입).
+  차단. **HTTP 경로는 nonce 검사가 항상 배선된다 (결정 223)** — 앱이 세션 Redis 를 가지면 그걸 재사용(멀티
+  인스턴스 안전), 없으면 **in-memory 폴백(단일 인스턴스 전용)**을 쓰고 부팅 시 경고한다(nonce 검사가 조용히
+  사라지지 않는다). **in-memory 는 프로세스별 격리라 멀티 워커(`--workers`·`WEB_CONCURRENCY>1`)·멀티 서버에서
+  replay 를 완전히 막지 못하므로, 프로덕션 멀티 인스턴스는 세션 Redis 를 구성한다.** WS 기본은 drift 윈도우
+  (고빈도라 프레임마다 SETNX 는 비용 과다 · 엄격 nonce 는 옵션 주입).
 - **허브(`gaon hub`)는 손대지 않는다** — 봉인/개봉은 각 웹서버의 소켓 경계에서만. 타 서버 접속자의
   UA·ts 컨텍스트가 없어 허브가 프레임을 복호할 수 없는 것은 구조적 필연(설계상) · 허브·NATS 내부는 평문.
 
@@ -145,6 +158,8 @@ seal 앱 응답에만 `script-src` 에 `'wasm-unsafe-eval'` 을 **자동 주입*
   `test/integration/seal-browser-e2e.integration.test.ts`(마운트·data-page 개봉·useForm POST·api()·WS `E:` 왕복·
   평문 `P:` 거부·hidden 누출 0·**비-seal 앱 번들 무-wasm 단언**) + `seal-fullstack-e2e`(실 `gaon serve`+`gaon hub`+NATS
   경유 봉인 broadcast).
+- **배포 게이트 편입 (결정 224)**: 이 두 e2e 는 `pnpm test:runtime-e2e` 에 들어 있다 — 이전엔 어느 스크립트에도 없어
+  **red 인데도 배포를 통과**해 seal 최초 문서 data-page 평문 유출 P0 를 못 잡았다(결정 224 근본). 배포 전 반드시 green.
 - **목업 e2e 로 대체 금지.** 서버 inject·단위·wasm-parity 는 byte 호환을 잠글 뿐 "실 브라우저에서 마운트되나"를
   못 본다 — 원 wave 가 실-브라우저 e2e 를 미뤄 P0 3건(번들 불가·CSP 차단·Inertia 인터셉터 파손)을 놓친 교훈(결정 124).
 - **봉인 검증은 네트워크 날 바디로만 봐야 한다 (검증법 함정).** seal 앱에서 `page.evaluate(fetch(...))` 나 렌더된
@@ -167,3 +182,5 @@ seal 앱 응답에만 `script-src` 에 `'wasm-unsafe-eval'` 을 **자동 주입*
 - **결정 121** — `@gaonjs/seal` 신설(GSP 이식 · 인터셉터 설계 · 앱 토글 · WS requireDecrypt · 기각 대안 4건).
 - **결정 124** — §3.1 개정: **app-side 정적 주입**(변수 동적 import 폐기) · **wasm 표면 은닉**(불투명 함수 · domain/ua/path 를 wasm 이 확보 · 미끼 시크릿 내장) · **WS 클라 봉인**(`setWsFrameCodec`) · **seal 앱 한정 CSP** · doctor `seal-security` main.ts 배선 검사 + `seal-client-wiring` fixer · 실 브라우저 e2e 게이트 · 부수 정정(`.wasm` MIME · `session.csrf` forwarding).
 - **결정 125** — **Inertia 네비게이션 평문 P0** 수정: 봉인 대상 판별기(`isSealTarget`)에 `X-Inertia: true` 를 편입. Inertia GET 방문은 `Accept: text/html` 로 와 application/json 이 없어 자동 면제되던 탓에 응답 props 가 평문으로 새어나갔다(클라 인터셉터는 시그널을 붙였으나 서버가 봉인 안 함). 네비게이션 봉인 e2e 를 seal blocking 게이트에 편입(실 vite+chromium · wire 봉인/`?q=` 왕복 단언).
+- **결정 222** — **클라 WS 수신 fail-open P1** 수정: 클라 `wsDecode`(client.ts)가 `P:` 평문·무prefix 프레임을 throw 없이 원문 통과시켜, 서버는 requireDecrypt 로 거부하는데 클라만 주입된 평문을 소비하던 봉인 파괴. `wsDecode` 를 서버 `SealWsTerminator` 와 대칭으로 만들어 `E:` 만 개봉·`P:`/무prefix 거부. `useChannel` 은 개봉 실패를 조용히 드롭하지 않고 소켓을 **4500 종료**(서버 대칭) + 콘솔 명시 + 재연결 안 함.
+- **결정 223** — **HTTP replay Redis 없으면 조용히 off + 허위 주석 P1** 수정: `normalizeSealConfig` 이 nonceStore 없으면 `replay=null` 로 두어 nonce 검사가 사라지고 drift(±60s)만 남아 60초 내 재전송이 통과했다(`sealBridge` 주석은 "in-memory 폴백" 이라 거짓 단언 — `MemoryNonceStore` 는 export 만·미배선). HTTP replay 를 **항상 배선**한다 — Redis 있으면 재사용(멀티 인스턴스 안전), 없으면 in-memory 폴백(단일 인스턴스 전용) + 부팅 경고. **기각: 부팅 throw(옵션 A)** — 기본 배포가 워커 1(CLAUDE 규칙 6)이라 단일 인스턴스 in-memory 가 정상 경로인데 throw 는 dev·단일 인스턴스 seal 앱을 깨고 문서(§4 "in-memory 는 dev/단일/테스트")와 상충. 폴백+경고가 비파괴적·정본 정합.

package/dist/templates/project/agents/storage.md.tpl

@@ -63,7 +63,10 @@ storage: process.env.STORAGE_ENDPOINT
 export default controller({
   async updateAvatar() {
     const f = this.file('avatar')                     // UploadedFile | undefined
-    if (!f) return this.back().withErrors({ avatar: '파일이 필요합니다.' })
+    if (!f) {
+      this.flash('error', '파일이 필요합니다.')          // useShared().flash.error 로 표시(결정 116)
+      return this.redirect('/profile')
+    }
     const key = `avatars/${this.auth.user!.id}.png`
     await Storage.put(key, f.buffer, { contentType: f.mimetype })
     return this.redirect('/profile')

package/dist/templates/project/agents/web.md.tpl

@@ -414,7 +414,7 @@ const ok = await verifyPassword(plain, user.passwordDigest) // Promise<boolean>
   ```ts
   async new() {
     this.requireAuth()                          // 미인증이면 로그인으로 리다이렉트
-    return this.render('Posts/New', { csrf: this.csrfToken() })
+    return this.render('Posts/New', {})         // csrf 는 자동 주입 공유 prop — 넘기지 않는다(결정 116·117)
   }
   async create() {
     const user = this.requireAuth()             // 반환값을 바로 쓴다
@@ -438,7 +438,8 @@ const ok = await verifyPassword(plain, user.passwordDigest) // Promise<boolean>
     const { email, password } = this.params({ _row: {} as { email: string; password: string } })
     const user = await User.where('email', '=', email).first()
     if (!user || !(await verifyPassword(password, user.passwordDigest))) {
-      return this.render('Auth/Login', { error: '이메일 또는 비밀번호가 올바르지 않습니다.', csrf: this.csrfToken() })
+      // csrf 는 자동 주입 공유 prop 이므로 컨트롤러가 넘기지 않는다(결정 116·117)
+      return this.render('Auth/Login', { error: '이메일 또는 비밀번호가 올바르지 않습니다.' })
     }
     this.auth.login(user)                       // 세션 확정
     return this.redirect('/dashboard')

package/dist/templates/project/apps/web/index.html.tpl

@@ -9,8 +9,10 @@
     <!--
       Vite 개발 서버가 이 index.html 을 서빙한다(dev). 운영 빌드는
       vite build 가 이 파일을 진입점 삼아 프로덕션 번들을 만든다.
-      Fastify(gaonjs/web) 는 초기 SPA 응답 셸에서 아래와 같은 구조의
-      <div id="app" data-page="..."> 를 내려보낸다 — 개발과 운영이 같은 셸.
+      Fastify(gaonjs/web) 는 초기 SPA 응답 셸에서 빈 div#app 뒤에 초기 페이지 객체를
+      script[type=application/json][data-page=app] 엘리먼트로 자동 주입한다(data-page 는
+      div 속성이 아니라 이 script 태그에 실린다 · 여기에 직접 쓰지 말 것 — 서버가 넣는다).
+      개발과 운영이 같은 셸이다.
     -->
     <div id="app"></div>
     <script type="module" src="/main.ts"></script>

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@gaonjs/cli",
-  "version": "0.39.0",
+  "version": "0.40.4",
   "description": "Gaon CLI — 스캐폴딩·제너레이터·마이그레이션·dev/serve/work/hub·doctor·check (bin: gaon)",
   "type": "module",
   "license": "MIT",
@@ -27,13 +27,13 @@
     "@modelcontextprotocol/sdk": "^1.29.0",
     "typescript": "^5.9.0",
     "vite": "^7.0.0",
-    "@gaonjs/data": "0.16.1",
-    "@gaonjs/async": "0.13.0",
+    "@gaonjs/config": "0.16.1",
+    "@gaonjs/core": "0.2.2",
     "@gaonjs/i18n": "0.2.1",
-    "@gaonjs/config": "0.16.0",
-    "@gaonjs/web": "0.19.0",
-    "@gaonjs/mail": "0.2.1",
-    "@gaonjs/core": "0.2.2"
+    "@gaonjs/data": "0.16.3",
+    "@gaonjs/async": "0.13.0",
+    "@gaonjs/web": "0.19.1",
+    "@gaonjs/mail": "0.2.1"
   },
   "scripts": {
     "build": "node ../../node_modules/typescript/bin/tsc -p tsconfig.json && node -e \"require('fs').cpSync('src/templates','dist/templates',{recursive:true})\""