@sayren/store-sdk 0.22.0 → 0.28.0

package/src/oauth.ts

@@ -4,10 +4,11 @@ import { unwrapData } from "./http";
 
 /**
  * OAuth 2.1 브라우저 플로우 헬퍼 (authorization_code + PKCE).
+ * 발급자는 Sayren 계정(accounts)이다 — 엔드포인트 주소는 호출부가 준다.
  * Web Crypto만 사용 — 브라우저/Node 모두에서 동작하며 **시크릿을 다루지 않는다**.
  */
 
-/** RFC 6749 §5.1 토큰 응답 (+ RFC 8693 확장 멤버 허용) */
+/** RFC 6749 §5.1 토큰 응답 */
 export const oauthTokenResponseSchema = z
   .object({
     access_token: z.string(),
@@ -29,19 +30,23 @@ export async function createPkcePair(): Promise<{ verifier: string; challenge: s
 }
 
 export interface AuthorizeUrlOptions {
-  /** 예: https://api.sayren.app/v1 (베이스 URL — /oauth2/authorize가 덧붙는다) */
-  baseUrl: string;
+  /** authorize 엔드포인트 전체 주소(예: `https://accounts.sayren.app/api/auth/oauth2/authorize`) */
+  authorizeUrl: string;
   clientId: string;
   redirectUri: string;
   state: string;
   codeChallenge: string;
-  /** 생략 시 서버 기본(stores:read). refresh가 필요하면 offline_access 포함 */
+  /** 생략 시 발급자 기본. refresh가 필요하면 offline_access 포함 */
   scope?: string;
+  /** RFC 8707 리소스 지시자 — 주면 JWT access token(`aud` = 리소스)을 받는다 */
+  resource?: string;
+  /** OIDC `prompt` — `login`(재인증)·`create`(가입)·`consent`(동의 다시 받기) */
+  prompt?: "login" | "create" | "consent";
 }
 
 /** authorize 엔드포인트 URL 구성 — 브라우저는 이 URL로 이동(top-level navigation) */
 export function buildAuthorizeUrl(options: AuthorizeUrlOptions): string {
-  const url = new URL(`${options.baseUrl}/oauth2/authorize`);
+  const url = new URL(options.authorizeUrl);
   url.searchParams.set("response_type", "code");
   url.searchParams.set("client_id", options.clientId);
   url.searchParams.set("redirect_uri", options.redirectUri);
@@ -49,15 +54,18 @@ export function buildAuthorizeUrl(options: AuthorizeUrlOptions): string {
   url.searchParams.set("code_challenge", options.codeChallenge);
   url.searchParams.set("code_challenge_method", "S256");
   if (options.scope) url.searchParams.set("scope", options.scope);
+  if (options.resource) url.searchParams.set("resource", options.resource);
+  if (options.prompt) url.searchParams.set("prompt", options.prompt);
   return url.toString();
 }
 
 async function tokenRequest(
-  baseUrl: string,
+  endpoint: string,
   form: Record<string, string>,
   fetchFn: typeof globalThis.fetch = globalThis.fetch,
 ): Promise<OAuthTokenResponse> {
-  const response = await fetchFn(`${baseUrl}/oauth2/token`, {
+  // 자격 증명(쿠키)을 싣지 않는다 — public 클라이언트 + PKCE·refresh로만 인증한다(다른 origin 발급자도 같다)
+  const response = await fetchFn(endpoint, {
     method: "POST",
     headers: { "content-type": "application/x-www-form-urlencoded" },
     body: new URLSearchParams(form).toString(),
@@ -70,23 +78,27 @@ async function tokenRequest(
   return oauthTokenResponseSchema.parse(unwrapData(json));
 }
 
-/** 콜백에서 받은 code를 userToken으로 교환 (PKCE verifier 동반) */
+/** 콜백에서 받은 code를 액세스 토큰으로 교환 (PKCE verifier 동반) */
 export async function exchangeAuthorizationCode(options: {
-  baseUrl: string;
+  /** 토큰 엔드포인트 전체 주소 */
+  tokenUrl: string;
   clientId: string;
   redirectUri: string;
   code: string;
   codeVerifier: string;
+  /** RFC 8707 리소스 지시자 */
+  resource?: string;
   fetch?: typeof globalThis.fetch;
 }): Promise<OAuthTokenResponse> {
   return tokenRequest(
-    options.baseUrl,
+    options.tokenUrl,
     {
       grant_type: "authorization_code",
       code: options.code,
       redirect_uri: options.redirectUri,
       client_id: options.clientId,
       code_verifier: options.codeVerifier,
+      ...(options.resource ? { resource: options.resource } : {}),
     },
     options.fetch,
   );
@@ -94,38 +106,21 @@ export async function exchangeAuthorizationCode(options: {
 
 /** refresh grant (rotation — 응답의 새 refresh_token으로 반드시 교체 저장할 것) */
 export async function refreshUserToken(options: {
-  baseUrl: string;
+  /** 토큰 엔드포인트 전체 주소 */
+  tokenUrl: string;
   clientId: string;
   refreshToken: string;
+  /** RFC 8707 리소스 지시자 */
+  resource?: string;
   fetch?: typeof globalThis.fetch;
 }): Promise<OAuthTokenResponse> {
   return tokenRequest(
-    options.baseUrl,
+    options.tokenUrl,
     {
       grant_type: "refresh_token",
       refresh_token: options.refreshToken,
       client_id: options.clientId,
-    },
-    options.fetch,
-  );
-}
-
-/** userToken → storeToken 교환 (RFC 8693 token-exchange grant) */
-export async function exchangeStoreTokenViaOAuth(options: {
-  baseUrl: string;
-  clientId: string;
-  userToken: string;
-  storeId: string;
-  fetch?: typeof globalThis.fetch;
-}): Promise<OAuthTokenResponse & { storeId?: string; role?: string }> {
-  return tokenRequest(
-    options.baseUrl,
-    {
-      grant_type: "urn:ietf:params:oauth:grant-type:token-exchange",
-      subject_token: options.userToken,
-      subject_token_type: "urn:ietf:params:oauth:token-type:access_token",
-      audience: options.storeId,
-      client_id: options.clientId,
+      ...(options.resource ? { resource: options.resource } : {}),
     },
     options.fetch,
   );

package/src/schemas/auth.ts

@@ -4,35 +4,6 @@ export const storeRoleSchema = z.enum(["OWNER", "ADMIN", "STAFF"]);
 
 export type StoreRole = z.infer<typeof storeRoleSchema>;
 
-export const userTokenResponseSchema = z.object({
-  access_token: z.string(),
-  token_type: z.literal("Bearer"),
-  expires_in: z.number().int(),
-  refresh_token: z.string().optional(),
-});
-
-export type UserTokenResponse = z.infer<typeof userTokenResponseSchema>;
-
-/** client_credentials 응답 (RFC 6749 §4.4.3) — storeToken 직발급, refresh 없음 */
-export const clientCredentialsTokenResponseSchema = z.object({
-  access_token: z.string(),
-  token_type: z.literal("Bearer"),
-  expires_in: z.number().int(),
-  scope: z.string(),
-});
-export type ClientCredentialsTokenResponse = z.infer<typeof clientCredentialsTokenResponseSchema>;
-
-export const storeTokenResponseSchema = z.object({
-  access_token: z.string(),
-  token_type: z.literal("Bearer"),
-  expires_in: z.number().int(),
-  storeId: z.string(),
-  role: storeRoleSchema,
-  scopes: z.array(z.string()),
-});
-
-export type StoreTokenResponse = z.infer<typeof storeTokenResponseSchema>;
-
 export const myStoreSchema = z.object({
   storeId: z.string(),
   storeName: z.string(),
@@ -52,38 +23,3 @@ export const myAccountSchema = z.object({
 });
 
 export type MyAccount = z.infer<typeof myAccountSchema>;
-
-/** API 토큰(PAT) — 목록/조회 뷰 (평문·해시 미포함) */
-export const apiTokenSchema = z.object({
-  tokenId: z.string(),
-  name: z.string(),
-  prefix: z.string(),
-  scopes: z.array(z.string()),
-  createdBy: z.string().describe("발급자 userId"),
-  createdByName: z.string().nullable().describe("발급자 이름 (표시용). 계정이 없으면 null"),
-  createdByEmail: z.string().nullable().describe("발급자 이메일 (표시용). 계정이 없으면 null"),
-  createdAt: z.string(),
-  expiresAt: z.string().nullable(),
-  lastUsedAt: z.string().nullable(),
-  agent: z
-    .boolean()
-    .default(false)
-    .describe(
-      "AI 에이전트(MCP)용 토큰인가. true면 이 토큰의 쓰기는 행위자 `AGENT`로 기록되고 에이전트 쓰기 정책(승인 필요·거부)을 따른다",
-    ),
-});
-export type ApiToken = z.infer<typeof apiTokenSchema>;
-
-/** 생성 응답 — 평문 토큰은 이 응답에서 단 한 번만 노출된다 */
-export const apiTokenCreatedSchema = apiTokenSchema.extend({ token: z.string() });
-export type ApiTokenCreated = z.infer<typeof apiTokenCreatedSchema>;
-
-export const apiTokenCreateRequestSchema = z.object({
-  name: z.string().min(1).max(50),
-  scopes: z.array(z.string()).min(1),
-  /** 일 단위 만료. null = 무기한, 생략 = 90일 */
-  expiresInDays: z.number().int().nullable().optional(),
-  /** AI 에이전트(MCP)용 토큰. 생략 = false. 발급 뒤에는 바꿀 수 없다 */
-  agent: z.boolean().optional(),
-});
-export type ApiTokenCreateRequest = z.infer<typeof apiTokenCreateRequestSchema>;

package/src/schemas/customer-delegation.ts

@@ -0,0 +1,48 @@
+import { z } from "zod";
+
+/**
+ * 구매자 위임 REST(`POST /v1/customers/delegations`, #71) — 계정 토큰(또는 관리 API 토큰) + `X-Store-Id`로 부른다(`customer:rw`).
+ * 자체 회원 시스템을 가진 셀러 서버가 로그인한 사용자를 sayren 구매자 토큰(30분, refresh 없음)으로 바꾼다. 옛 token-exchange
+ * (`member-uid`·`member-ref`)를 대신한다. 에이전트 요청은 거부된다(`x-agent-policy` DENIED).
+ */
+
+const uidPattern = /^[A-Za-z0-9._:@|-]{1,128}$/;
+
+export const customerDelegationRequestSchema = z
+  .object({
+    uid: z
+      .string()
+      .regex(uidPattern)
+      .optional()
+      .describe(
+        "셀러 자체 인증의 사용자 id(1~128자, 영문·숫자·`._:@|-`). 처음 보는 id면 구매자를 만든다",
+      ),
+    email: z
+      .email()
+      .max(254)
+      .optional()
+      .describe("uid가 없으면 이메일로 지목한다. uid와 함께 주면 처음 만들 때의 이메일이다"),
+    name: z.string().max(50).optional().describe("처음 만들 때의 이름"),
+    authenticatedAt: z.iso
+      .datetime({ offset: true })
+      .optional()
+      .describe(
+        "사용자가 셀러 서비스에서 실제로 로그인한 시각(uid 위임만). 주면 구매자 토큰의 인증 시각이 된다",
+      ),
+  })
+  .refine((value) => Boolean(value.uid || value.email), {
+    message: "uid 또는 email이 필요합니다",
+    path: ["uid"],
+  })
+  .describe("구매자 위임 요청");
+export type CustomerDelegationRequest = z.infer<typeof customerDelegationRequestSchema>;
+
+export const customerDelegationSchema = z
+  .object({
+    accessToken: z.string().describe("구매자 액세스 토큰(스토어프론트 API Bearer)"),
+    tokenType: z.literal("Bearer"),
+    expiresIn: z.number().int().describe("수명(초)"),
+    memberId: z.string(),
+  })
+  .describe("구매자 위임 결과");
+export type CustomerDelegation = z.infer<typeof customerDelegationSchema>;

package/src/schemas/product.ts

@@ -35,6 +35,13 @@ export const productSummarySchema = z.object({
       "상품 이행의 유형. 유형별 속성은 단건 조회(`GET /v1/products/{productId}`)의 `fulfillment`에 있다",
     ),
   updatedAt: z.string(),
+  sample: z
+    .boolean()
+    .optional()
+    .default(false)
+    .describe(
+      "스토어를 만들 때 넣은 샘플 상품인가(이슈 #70). 콘솔이 「샘플」 배지를 단다. 스토어프론트에는 싣지 않는다. 서버는 항상 싣는다",
+    ),
 });
 
 export type ProductSummary = z.infer<typeof productSummarySchema>;

package/src/schemas/scope.ts

@@ -49,8 +49,7 @@ export function isStoreScope(scope: string): boolean {
 
 /**
  * 역할별 자동 부여 스코프 (auth-spec §7).
- * storeToken(사람)의 스코프는 이 표로 결정된다. PAT·M2M 클라이언트에는 역할이 없고
- * 발급 시 지정한 스코프만 갖는다(발급자 보유 스코프 이내).
+ * 계정 토큰으로 스토어를 호출할 때의 스코프는 그 스토어에서의 역할로 이 표에서 결정된다.
  */
 export const STORE_ROLE_SCOPES = {
   OWNER: [

package/src/schemas/store.ts

@@ -270,7 +270,7 @@ export type StoreMember = z.infer<typeof storeMemberSchema>;
 
 /**
  * 초대 메일 발송 결과 — `SENDING`은 발송 요청 중(결과를 아직 적지 못함), `NOT_CONFIGURED`는 메일 발송이 설정되지 않아
- * 보내지 않은 것이다. 발송 실패는 초대를 무효로 만들지 않는다 — 재발송으로 다시 보낸다
+ * 보내지 않은 것이다. 스토어의 월 메일 한도(요금제)를 다 써서 보내지 않았으면 `FAILED` + `deliveryErrorCode: MAIL_QUOTA_EXCEEDED`다. 발송 실패는 초대를 무효로 만들지 않는다 — 재발송으로 다시 보낸다
  */
 export const invitationDeliveryStatusSchema = z.enum([
   "SENDING",

package/src/schemas/storefront-hosting.ts

@@ -4,11 +4,12 @@ import { RESERVED_STORE_CODES } from "./store";
 /**
  * 스토어프론트 호스팅 (이슈 #53, M1: 템플릿 발행) — 관리 API `/v1/storefront/**`의 계약이다.
  *
- * 셀러는 템플릿을 골라 사이트를 만들고 `{slug}.{호스팅 도메인}` 주소를 받는다. 발행은 버전 단위이고,
+ * 셀러는 템플릿을 골라 사이트를 만들고 `{slug}.{호스팅 도메인}` 주소를 받는다. 스토어를 만들어도 사이트는 생기지 않고
+ * `POST /v1/storefront/site`가 유일한 생성 경로다. 템플릿은 만들 때만 고르고 바꾸지 않는다. 발행은 버전 단위이고,
  * 되돌리기는 이전 버전을 다시 발행하는 것이다(재빌드 없음). 상태의 원천은 api DB이고 Cloudflare 쪽 반영
  * (라우팅 표·사이트 Worker)은 커밋 뒤 비동기다 — 반영 상태는 `provisioning`으로 본다.
  *
- * 스코프는 조회 `storefront:r`, 쓰기 `storefront:rw`(역할 OWNER·ADMIN)다. 에이전트(MCP)의 발행·되돌리기·템플릿 변경·
+ * 스코프는 조회 `storefront:r`, 쓰기 `storefront:rw`(역할 OWNER·ADMIN)다. 에이전트(MCP)의 발행·되돌리기·
  * 공개 전환·슬러그 변경·호스팅 끄기는 승인(`APPROVAL_REQUIRED`)이다 — 구매자가 보는 화면을 바꾸는 쓰기다.
  *
  * 오류 코드:
@@ -23,6 +24,8 @@ import { RESERVED_STORE_CODES } from "./store";
  * - 409 `STORE_SUSPENDED` — 정지된 스토어에는 사이트를 만들 수 없다
  * - 409 `STOREFRONT_VERSION_NOT_READY` — 빌드가 끝나지 않았거나 실패한 버전은 발행할 수 없다
  * - 409 `STOREFRONT_NO_ROLLBACK_TARGET` — 되돌릴 이전 발행 버전이 없다
+ * - 409 `STOREFRONT_NOT_READY` — 공개 전환: 판매 중인 상품(샘플 제외)이 없다(이슈 #70). 상품을 등록한 뒤 공개한다
+ * - 409 `TEMPLATE_CHANGE_NOT_SUPPORTED` — 템플릿 변경(`POST /v1/storefront/site/template`, 폐기)은 항상 이 오류다
  * - 400 `STOREFRONT_SLUG_CONFIRM_MISMATCH` — 호스팅 끄기 확인 입력이 현재 슬러그와 다르다
  * - 503 `STOREFRONT_PREVIEW_NOT_CONFIGURED` — 미리보기 서명 키가 설정되지 않았다
  *
@@ -89,6 +92,16 @@ export const RESERVED_STOREFRONT_SLUGS: readonly string[] = [
  */
 export const STOREFRONT_EDIT_PREVIEW_SUFFIX = "-preview";
 
+/**
+ * 공식 쇼케이스 슬러그 접두사(이슈 #72) — `demo-{템플릿 id}`는 템플릿 미리보기용 쇼케이스 사이트 주소다. 쇼케이스로 지정된
+ * 스토어만 쓸 수 있다(서버가 스토어 용도로 판정한다). 공식 미리보기를 흉내 내는 주소를 막는다
+ */
+export const STOREFRONT_SHOWCASE_SLUG_PREFIX = "demo-";
+
+export function isShowcaseStorefrontSlug(slug: string): boolean {
+  return slug.toLowerCase().startsWith(STOREFRONT_SHOWCASE_SLUG_PREFIX);
+}
+
 export function isReservedStorefrontSlug(slug: string): boolean {
   const lower = slug.toLowerCase();
   return (
@@ -132,8 +145,25 @@ export const storefrontTemplateSchema = z.object({
   industry: z.string().describe("업종 (예: `general`·`fashion`·`food`). 목록 필터에 쓴다"),
   description: z.string().describe("템플릿 설명"),
   thumbnailUrl: z.string().nullable().describe("썸네일 이미지 주소. 없으면 null"),
-  version: z.string().describe("현재 템플릿 버전. 새 사이트·템플릿 변경은 이 버전으로 만든다"),
+  version: z.string().describe("현재 템플릿 버전. 새 사이트는 이 버전으로 만든다"),
   isDefault: z.boolean().describe("기본 템플릿인가 (스토어 생성 시 자동 생성에 쓴다)"),
+  tags: z
+    .array(z.string())
+    .default([])
+    .describe(
+      "템플릿 특징 태그 (예: `후기 강조`). 목록 카드에 보인다. 옛 서버 응답은 빈 배열로 읽는다",
+    ),
+  supportsCheckout: z
+    .boolean()
+    .default(true)
+    .describe(
+      "주문을 받는 템플릿인가. false는 가격·문의 중심의 카탈로그형이다. 옛 서버 응답은 true로 읽는다",
+    ),
+  previewUrl: z
+    .string()
+    .nullable()
+    .default(null)
+    .describe("공식 쇼케이스 사이트 주소. 연결된 쇼케이스가 공개 중일 때만 싣고 그 밖에는 null"),
 });
 export type StorefrontTemplate = z.infer<typeof storefrontTemplateSchema>;
 
@@ -242,7 +272,7 @@ export const storefrontEditPreviewSchema = z.object({
 export type StorefrontEditPreview = z.infer<typeof storefrontEditPreviewSchema>;
 
 /**
- * 사이트 정지 — 운영 정책에 따라 플랫폼 운영자가 사이트를 정지한다. 정지 중에는 방문자에게 정지 안내가 보이고 발행·되돌리기·템플릿 변경·
+ * 사이트 정지 — 운영 정책에 따라 플랫폼 운영자가 사이트를 정지한다. 정지 중에는 방문자에게 정지 안내가 보이고 발행·되돌리기·
  * 공개 전환·슬러그 변경·끄기·편집이 409 `STOREFRONT_SITE_NOT_ACTIVE`다. 셀러가 풀 수 없다(고객센터로 문의한다).
  */
 export const storefrontSuspensionSchema = z.object({
@@ -301,6 +331,50 @@ export const storefrontSlugAvailabilitySchema = z.object({
 });
 export type StorefrontSlugAvailability = z.infer<typeof storefrontSlugAvailabilitySchema>;
 
+/**
+ * 배포 진행 — 사이트의 지금 발행 상태가 공개 주소에 반영되기까지의 단계와 기록이다(콘솔의 스토어프론트 만들기 3단계가 폴링한다).
+ * 만들기(`POST /v1/storefront/site`)는 곧바로 201로 답하고 반영은 그 뒤에 비동기로 하므로, 끝났는지는 이 조회로 본다.
+ * 템플릿 사이트는 미리 빌드한 템플릿 산출물을 올리므로 빌드 단계가 없다. 기록은 사이트 상태에서 만든 요약이다.
+ */
+export const storefrontDeploymentStepSchema = z.object({
+  key: z
+    .enum(["SITE", "UPLOAD", "PUBLISH"])
+    .describe("`SITE` 사이트·첫 버전 기록 · `UPLOAD` 버전 올리기 · `PUBLISH` 주소 연결·발행"),
+  status: z.enum(["PENDING", "RUNNING", "DONE", "FAILED"]),
+  finishedAt: z.string().nullable().describe("끝난 시각 (ISO 8601). 모르거나 끝나지 않았으면 null"),
+});
+export type StorefrontDeploymentStep = z.infer<typeof storefrontDeploymentStepSchema>;
+
+export const storefrontDeploymentLogSchema = z.object({
+  at: z.string().nullable().describe("기록 시각 (ISO 8601). 모르면 null"),
+  level: z.enum(["INFO", "WARN", "ERROR"]),
+  code: z
+    .string()
+    .describe(
+      "기록 종류 (`SITE_CREATED`·`ADDRESS_RESERVED`·`WAITING`·`SYNCING`·`VERSION_UPLOADED`·`SYNC_FAILED`·`RETRY_SCHEDULED`·`PUBLISHED`)",
+    ),
+  message: z.string().describe("사람이 읽는 문장"),
+});
+export type StorefrontDeploymentLog = z.infer<typeof storefrontDeploymentLogSchema>;
+
+export const storefrontDeploymentSchema = z.object({
+  siteId: z.string(),
+  status: z
+    .enum(["IN_PROGRESS", "SUCCEEDED", "FAILED"])
+    .describe(
+      "`IN_PROGRESS` 반영 중 · `SUCCEEDED` 공개 주소에 반영됨 · `FAILED` 여러 번 실패했거나 다음 자동 시도가 멀다(`POST …/deployment/retry`로 곧바로 다시 시도한다)",
+    ),
+  url: z.string().describe("사이트 기본 주소 (`https://{slug}.{호스팅 도메인}`)"),
+  startedAt: z.string().describe("사이트를 만든 시각 (ISO 8601)"),
+  finishedAt: z.string().nullable().describe("반영을 마친 시각 (ISO 8601)"),
+  steps: z.array(storefrontDeploymentStepSchema),
+  log: z.array(storefrontDeploymentLogSchema).describe("오래된 것부터"),
+  errorCode: z.string().nullable().describe("마지막 반영 실패 코드"),
+  attempts: z.number().int().describe("연속 실패 횟수"),
+  nextAttemptAt: z.string().nullable().describe("다음 자동 시도 시각 (ISO 8601)"),
+});
+export type StorefrontDeployment = z.infer<typeof storefrontDeploymentSchema>;
+
 // ─── 요청 ─────────────────────────────────────────────────
 
 export const createStorefrontSiteRequestSchema = z.object({
@@ -309,6 +383,7 @@ export const createStorefrontSiteRequestSchema = z.object({
 });
 export type CreateStorefrontSiteRequest = z.infer<typeof createStorefrontSiteRequestSchema>;
 
+/** @deprecated 템플릿 변경은 지원하지 않는다(항상 409 `TEMPLATE_CHANGE_NOT_SUPPORTED`). 호환을 위해 스키마만 남겼다 */
 export const changeStorefrontTemplateRequestSchema = z.object({
   templateId: z.string().min(1).max(64).describe("바꿀 템플릿 id"),
   publish: z
@@ -317,6 +392,7 @@ export const changeStorefrontTemplateRequestSchema = z.object({
     .describe("새 버전을 곧바로 발행하는가 (기본 true). false면 버전만 만든다"),
   message: z.string().max(200).optional().describe("버전 메모"),
 });
+/** @deprecated 템플릿 변경은 지원하지 않는다 */
 export type ChangeStorefrontTemplateRequest = z.infer<typeof changeStorefrontTemplateRequestSchema>;
 
 /**
@@ -1002,7 +1078,7 @@ export const storefrontRuleResultSchema = z.object({
 export type StorefrontRuleResult = z.infer<typeof storefrontRuleResultSchema>;
 
 /**
- * 규칙 검증 보고서 — `@sayren/mcp`의 `verify_storefront`와 같은 모양이다(원천 `apps/mcp/src/verify.ts`). 위반마다
+ * 규칙 검증 보고서 — `@sayren/mcp`의 `verify_storefront`와 같은 모양이다(원천 `packages/mcp/src/verify.ts`). 위반마다
  * 고칠 자리(`file`·`line`)와 방법(`fix`·`example`)을 싣는다. `POST /v1/storefront/site/verify`(편집 환경이 잠들어 있어도
  * 된다)와 빌드의 `verify`가 이 모양이다.
  */
@@ -1074,7 +1150,7 @@ export const STOREFRONT_BUILD_STAGES = [
  * 의존성 검사 결과 한 줄(#61) — 거절(`DEPENDENCY_REJECTED`의 `details.rejected`)·경고(빌드 `dependencies`, 소스 교체 `dependencyWarnings`)가
  * 같은 모양이다. 대상 패키지와 사유. 셀러가 고칠 수 있게 버전·권고 id·거절 사유를 싣는다.
  * `reason`: `DENYLISTED`(거절 목록) · `ADVISORY`(보안 권고) · `MALWARE`(악성 코드 권고, 패키지 전체) · `INSTALL_SCRIPT`(루트
- * package.json의 설치 훅은 거절, 의존성의 설치 스크립트는 경고) · `UNSUPPORTED_SOURCE`(레지스트리 밖 설치 경로) · `BUNDLED_DEPENDENCIES`(묶여
+ * package.json의 설치 훅·의존성의 설치 스크립트, 경고) · `INSTALL_CONFIG`(설치 방식 필드, 경고) · `UNSUPPORTED_SOURCE`(레지스트리 밖 설치 경로) · `BUNDLED_DEPENDENCIES`(묶여
  * 오는 의존성, 경고) · `INVALID_MANIFEST`(package.json·잠금 파일 형식), 늘어날 수 있다.
  */
 export const storefrontDependencyFindingSchema = z.object({