@team-semicolon/semicolony-cli 4.18.119 → 4.18.121

package/migrations/210_skill_release_chain_role.sql

@@ -0,0 +1,78 @@
+-- 210_skill_release_chain_role.sql
+--
+-- A dedicated role for one operation: cutting the skill-only worker release that a governed
+-- skill activation implies.
+--
+-- Why not widen `sc_app`. The Gateway connects as `sc_app`, which serves every worker device
+-- and every bot and is reachable from the internet. Its current access to the release tables
+-- is deliberately narrow — SELECT on named columns only, and `source_commit` is not among them
+-- (177). Granting that role INSERT and UPDATE would mean a caller who reaches the Gateway with
+-- a valid lease could change what every device installs. The line drawn in 177 is kept.
+--
+-- Instead `sc_skill_release` holds exactly the four privileges the patch path needs, and
+-- `sc_app` is made a member so the Gateway can `SET LOCAL ROLE` for that transaction and drop
+-- back immediately. Membership is not the same as the privilege: `sc_app`'s own grants are
+-- unchanged, and the elevation is scoped to a transaction that the code enters deliberately.
+-- The repository already separates service roles this way (`sc_fleet_board`, `sc_provider`,
+-- `semo_ops_bot`), so this follows the existing shape rather than inventing one.
+--
+-- `NOINHERIT` is the point: without it `sc_app` would carry these privileges implicitly on
+-- every statement, which is exactly what this migration is avoiding. With it, the privileges
+-- apply only after an explicit `SET ROLE`.
+--
+-- Design: semo-ops/docs/superpowers/specs/2026-08-27-skill-activation-auto-worker-release-design.md
+
+DO $$
+BEGIN
+  IF NOT EXISTS (SELECT 1 FROM pg_roles WHERE rolname = 'sc_skill_release') THEN
+    CREATE ROLE sc_skill_release NOLOGIN NOINHERIT;
+  END IF;
+END $$;
+
+-- 스키마 USAGE 는 재타겟을 탈 수 없다. 러너의 치환은 `semicolony.`(점 포함)만 바꾸므로
+-- `ON SCHEMA semicolony` 는 활성 스키마(SEMICOLONY_DB_SCHEMA)를 따라가지 않는다. 테이블이
+-- 실제로 있는 스키마에서 이름을 얻어 동적으로 부여한다 — 135_sc_roles 와 같은 형태이되
+-- 러너가 설정하지 않는 `app.runtime_schema` 에 기대지 않는다.
+DO $$
+DECLARE v_schema text;
+BEGIN
+  SELECT n.nspname INTO v_schema
+    FROM pg_class c
+    JOIN pg_namespace n ON n.oid = c.relnamespace
+   WHERE c.relname = 'worker_profile_releases' AND c.relkind = 'r'
+   ORDER BY (n.nspname = current_schema()) DESC, n.nspname
+   LIMIT 1;
+  IF v_schema IS NULL THEN
+    RAISE EXCEPTION 'worker_profile_releases not found; cannot determine the active schema';
+  END IF;
+  EXECUTE format('GRANT USAGE ON SCHEMA %I TO sc_skill_release', v_schema);
+END $$;
+
+-- Reading the release it patches. `source_commit` is required here and is precisely what
+-- `sc_app` is not allowed to read on its own.
+GRANT SELECT (release_id, profile_id, version, status, manifest, manifest_sha256, source_commit)
+ON TABLE semicolony.worker_profile_releases TO sc_skill_release;
+
+-- Staging the patch release, then activating it and superseding the previous one.
+GRANT INSERT ON TABLE semicolony.worker_profile_releases TO sc_skill_release;
+GRANT UPDATE (status, activated_at, activated_by)
+ON TABLE semicolony.worker_profile_releases TO sc_skill_release;
+
+-- Moving the profile pointer to the new release.
+GRANT SELECT (profile_id, active_release_id)
+ON TABLE semicolony.workspace_profiles TO sc_skill_release;
+GRANT UPDATE (active_release_id)
+ON TABLE semicolony.workspace_profiles TO sc_skill_release;
+
+-- Activation refuses to proceed when a registered device cannot carry the manifest, so the
+-- role must be able to read that compatibility signal. Read-only, and no device column is
+-- writable from here — device state is reported by the device itself under `sc_app`.
+GRANT SELECT (worker_id, device_id, status, installed_profile_id, last_doctor_status, last_doctor_summary)
+ON TABLE semicolony.worker_devices TO sc_skill_release;
+
+-- Membership only. `sc_app` keeps its own narrow grants; NOINHERIT means these privileges are
+-- inert until the Gateway issues `SET LOCAL ROLE sc_skill_release` inside a transaction.
+GRANT sc_skill_release TO sc_app;
+
+COMMENT ON ROLE sc_skill_release IS
+  'Cuts the skill-only worker patch release implied by a governed skill activation. Assumed by sc_app via SET LOCAL ROLE for that transaction only; never a login role.';

package/migrations/211_ops_board_skill_catalog_read.sql

@@ -0,0 +1,64 @@
+-- 211_ops_board_skill_catalog_read.sql
+--
+-- `/ops/skills` reads the skill release registry. The dashboard connects as
+-- `sc_fleet_board`, which today has SELECT on **none** of the skill tables, so the
+-- board would render zero rows with no error — the same silent-empty failure the
+-- Works board hit before `0032` opened its tables.
+--
+-- What the catalogue needs, and nothing else:
+--   * the two "current" views              — what is active, what is retired
+--   * `skill_releases` + `skill_release_activations` — the per-skill history behind them
+--   * `skill_release_files`                — the SKILL.md body, which is the whole point:
+--     the repository rule is that a skill's source of truth is the approved release, and
+--     an installed tree on disk is only a projection. A screen that renders the release
+--     body directly is how that rule stops being folklore.
+--
+-- Deliberately NOT granted:
+--   * `skill_capability_leases` / `skill_capability_lease_revocations` — who is allowed to
+--     *write* a skill. That is authorization state, not catalogue, and a read-only board has
+--     no question that needs it.
+--   * `skill_change_proposals` — unapproved draft bodies. Showing a proposal next to an
+--     activated release invites reading the draft as the skill.
+--   * `project_skill_releases` — identity and hashes only, no file body (the project-scope
+--     body still lives in Git). Listing it would imply a catalogue entry that cannot be read.
+--
+-- Same shape as `works` migration `0032`: grant the minimum, then assert the exclusions hold
+-- so a later convenience grant fails here instead of quietly widening the board.
+
+GRANT USAGE ON SCHEMA semo_ops TO sc_fleet_board;
+
+GRANT SELECT ON TABLE
+  semo_ops.skill_releases,
+  semo_ops.skill_release_activations,
+  semo_ops.skill_release_retirements,
+  semo_ops.skill_release_files
+TO sc_fleet_board;
+
+GRANT SELECT ON TABLE
+  semo_ops.v_current_skill_release_activations,
+  semo_ops.v_current_skill_release_retirements
+TO sc_fleet_board;
+
+-- The board must stay unable to read authorization state or unapproved drafts.
+DO $$
+DECLARE
+  t text;
+  leaked text[] := '{}';
+BEGIN
+  FOREACH t IN ARRAY ARRAY[
+    'skill_capability_leases',
+    'skill_capability_lease_revocations',
+    'skill_change_proposals',
+    'project_skill_releases'
+  ] LOOP
+    IF to_regclass('semo_ops.' || quote_ident(t)) IS NOT NULL
+       AND has_table_privilege('sc_fleet_board', 'semo_ops.' || quote_ident(t), 'SELECT') THEN
+      leaked := leaked || t;
+    END IF;
+  END LOOP;
+
+  IF array_length(leaked, 1) IS NOT NULL THEN
+    RAISE EXCEPTION 'sc_fleet_board must not read %; the ops board is a catalogue, not a governance surface',
+      array_to_string(leaked, ', ');
+  END IF;
+END $$;

package/migrations/212_feedback_status_vocabulary.sql

@@ -0,0 +1,116 @@
+-- 212_feedback_status_vocabulary.sql
+--
+-- 피드백 상태를 넷으로 고정한다: open · rejected · fixed · waiting.
+--
+-- 2026-08-25 실측으로 라이브에 11종이 있었다. `mr-open-awaiting-human-merge` 나
+-- `contained-pending-permanent-fix` 같은 1회성 문장이 섞여 있어서 "완수" 가 기계로
+-- 판정되지 않았다. 그 값들은 `record_feedback` 이 아니라 `semo kb upsert` 로 들어왔다
+-- — 그것도 정당한 쓰기 경로이므로, 함수가 아니라 **트리거**로 막는다.
+--
+-- 순서가 중요하다: 먼저 정규화하고 그다음 트리거를 건다. 반대로 하면 `duplicate` 를
+-- 사유 없는 `rejected` 로 바꾸는 UPDATE 가 자기 트리거에 걸린다.
+
+-- ── 1. 레거시 값 접기 ────────────────────────────────────────────────
+-- 원래 값은 status_legacy 에 남긴다. 나중에 "이건 왜 fixed 인가" 를 물을 수 있어야 한다.
+
+UPDATE semo_ops.knowledge_base
+   SET metadata = metadata
+                || jsonb_build_object('status', 'fixed',
+                                      'status_legacy', metadata ->> 'status')
+ WHERE domain = 'semicolon' AND key = 'feedback'
+   AND metadata ->> 'status' IN ('resolved', 'cleanup-verified');
+
+UPDATE semo_ops.knowledge_base
+   SET metadata = metadata
+                || jsonb_build_object('status', 'waiting',
+                                      'status_legacy', metadata ->> 'status')
+ WHERE domain = 'semicolon' AND key = 'feedback'
+   AND metadata ->> 'status' IN ('waiting_human', 'in_review',
+                                 'mr-open-awaiting-human-merge',
+                                 'contained-pending-permanent-fix', 'partial');
+
+-- 중복 표시는 병합 이전 시대의 흔적이다. 사유를 달아 rejected 로 닫는다 —
+-- 실제 병합은 215 부터 포착 시점에 일어난다.
+UPDATE semo_ops.knowledge_base
+   SET metadata = metadata
+                || jsonb_build_object('status', 'rejected',
+                                      'status_legacy', metadata ->> 'status',
+                                      'rejected_reason',
+                                      '중복으로 표시된 병합 이전 기록 (마이그레이션 212)')
+ WHERE domain = 'semicolon' AND key = 'feedback'
+   AND metadata ->> 'status' IN ('duplicate', 'duplicate-closed');
+
+-- status 키 자체가 없는 행이 7건 있었다. 부재는 open 이다.
+UPDATE semo_ops.knowledge_base
+   SET metadata = coalesce(metadata, '{}'::jsonb) || jsonb_build_object('status', 'open')
+ WHERE domain = 'semicolon' AND key = 'feedback'
+   AND (metadata IS NULL OR NOT metadata ? 'status');
+
+-- 사유 없이 rejected 인 행이 남아 있으면 트리거가 이후 모든 수정을 막는다. 지금 채운다.
+UPDATE semo_ops.knowledge_base
+   SET metadata = metadata || jsonb_build_object('rejected_reason',
+                                                 '사유 미기록 (마이그레이션 212 이전)')
+ WHERE domain = 'semicolon' AND key = 'feedback'
+   AND metadata ->> 'status' = 'rejected'
+   AND coalesce(btrim(metadata ->> 'rejected_reason'), '') = '';
+
+-- ── 2. 어휘 강제 ─────────────────────────────────────────────────────
+
+CREATE OR REPLACE FUNCTION semo_ops.feedback_status_guard()
+RETURNS trigger
+LANGUAGE plpgsql
+SET search_path TO 'pg_catalog'
+AS $function$
+DECLARE
+  v_status text;
+BEGIN
+  NEW.metadata := coalesce(NEW.metadata, '{}'::jsonb);
+  v_status := NEW.metadata ->> 'status';
+
+  -- 상태를 안 주면 open 이다. 거절하지 않는 이유: 포착 경로가 상태를 생각하지 않아도
+  -- 되게 하려는 것이고, 그 기본값은 이미 record_feedback 의 계약이다.
+  IF v_status IS NULL THEN
+    NEW.metadata := NEW.metadata || jsonb_build_object('status', 'open');
+    v_status := 'open';
+  END IF;
+
+  IF v_status NOT IN ('open', 'rejected', 'fixed', 'waiting') THEN
+    RAISE EXCEPTION
+      'feedback status % is outside the vocabulary (open/rejected/fixed/waiting)', v_status
+      USING ERRCODE = '22023';
+  END IF;
+
+  -- 사유 없는 기각은 기각이 아니라 유실이다. 자율 기각을 켜는 이상 이건 강제여야 한다.
+  IF v_status = 'rejected'
+     AND coalesce(btrim(NEW.metadata ->> 'rejected_reason'), '') = '' THEN
+    RAISE EXCEPTION
+      'a rejected feedback requires metadata.rejected_reason'
+      USING ERRCODE = '22023';
+  END IF;
+
+  RETURN NEW;
+END;
+$function$;
+
+DROP TRIGGER IF EXISTS feedback_status_guard ON semo_ops.knowledge_base;
+CREATE TRIGGER feedback_status_guard
+BEFORE INSERT OR UPDATE ON semo_ops.knowledge_base
+FOR EACH ROW
+WHEN (NEW.domain = 'semicolon' AND NEW.key = 'feedback')
+EXECUTE FUNCTION semo_ops.feedback_status_guard();
+
+-- ── 3. 정규화가 끝났는지 확인한다 ────────────────────────────────────
+-- 조용히 남은 값 하나가 나중에 어떤 쓰기를 막는다. 지금 큰 소리로 실패하는 편이 낫다.
+DO $$
+DECLARE
+  v_stray int;
+BEGIN
+  SELECT count(*) INTO v_stray
+    FROM semo_ops.knowledge_base
+   WHERE domain = 'semicolon' AND key = 'feedback'
+     AND coalesce(metadata ->> 'status', 'open')
+         NOT IN ('open', 'rejected', 'fixed', 'waiting');
+  IF v_stray > 0 THEN
+    RAISE EXCEPTION 'the feedback status vocabulary still has % stray rows', v_stray;
+  END IF;
+END $$;

package/migrations/213_feedback_policy_and_events.sql

@@ -0,0 +1,65 @@
+-- 213_feedback_policy_and_events.sql
+--
+-- 재발 판정의 두 축을 만든다: 문턱을 담는 정책 한 행과, 그 문턱을 나중에 근거로
+-- 고칠 수 있게 하는 이벤트 원장.
+--
+-- 왜 상수가 아니라 테이블인가. 병합 거리 0.10 은 실측이다(2026-08-25, 22쌍이 제목까지
+-- 같은 재보고였다). 승격 문턱은 실측이 아니라 추측이다. 추측을 함수 안에 박으면
+-- 고치는 데 마이그레이션이 필요하고, 무엇보다 **그 값이 맞는지 볼 방법이 없다.**
+--
+-- 이 테이블 읽기는 루프를 죽인 실패 모드와 다르다. 그건 HTTP 설정 조회가 403 을 내고
+-- 삼켜진 것이었다. 같은 트랜잭션 안의 로컬 테이블 읽기는 되거나, 쓰기 전체가 실패한다.
+
+CREATE TABLE IF NOT EXISTS semo_ops.feedback_policy (
+  id                     int PRIMARY KEY DEFAULT 1 CHECK (id = 1),
+  merge_distance         numeric(4,3) NOT NULL CHECK (merge_distance > 0),
+  link_distance          numeric(4,3) NOT NULL CHECK (link_distance > 0),
+  promote_occurrences    int NOT NULL CHECK (promote_occurrences >= 1),
+  promote_distinct_hosts int NOT NULL CHECK (promote_distinct_hosts >= 1),
+  rationale              text NOT NULL,
+  updated_by             text NOT NULL,
+  updated_at             timestamptz NOT NULL DEFAULT now(),
+  CHECK (merge_distance < link_distance)
+);
+
+INSERT INTO semo_ops.feedback_policy
+  (id, merge_distance, link_distance, promote_occurrences, promote_distinct_hosts,
+   rationale, updated_by)
+VALUES
+  (1, 0.100, 0.180, 2, 2,
+   '병합 거리 0.10 은 2026-08-25 실측이다 — 그 아래 22쌍은 제목까지 같은 재보고였고, '
+   '본문이 조금 달라 내용 해시가 갈리는 바람에 별건이 됐다. 0.18 은 그 위 구간에 '
+   '서비스가 다른 건과 같은 파일 건이 섞여 거리로 못 가른다는 관찰에서 온 경계다. '
+   '승격 문턱 2/2 는 추측이며, 되돌릴 수 있는 쪽으로 기울였다 — 과승격은 다이제스트에 '
+   '숫자로 보이지만 과소승격은 침묵하고, 침묵이 성공처럼 보이는 것이 이 파이프라인이 '
+   '2주를 잃은 실패 모드다. feedback_merge_events 가 몇 주 쌓이면 그 분포로 다시 정한다.',
+   'reus')
+ON CONFLICT (id) DO NOTHING;
+
+COMMENT ON TABLE semo_ops.feedback_policy IS
+  '피드백 재발 판정 문턱. 정확히 한 행. 행이 없으면 record_feedback 이 기본값으로 '
+  '떨어지지 않고 예외를 던진다 — 부재는 기본값이 아니다.';
+
+-- 원장. 덧붙이기만 하고, 문턱을 다시 정할 때 읽는다.
+CREATE TABLE IF NOT EXISTS semo_ops.feedback_merge_events (
+  event_id             bigserial PRIMARY KEY,
+  occurred_at          timestamptz NOT NULL DEFAULT now(),
+  kind                 text NOT NULL CHECK (kind IN ('merged', 'linked', 'promoted', 'regressed')),
+  -- 병합돼 사라진 쪽(생기지 않은 slug)과 남은 쪽.
+  source_slug          text NOT NULL,
+  target_slug          text,
+  distance             numeric(6,5),
+  occurrences_after    int,
+  distinct_hosts_after int,
+  -- 반응을 정한 것은 대상의 상태였다. 나중에 "왜 승격됐나" 를 이 열로 답한다.
+  target_status_before text,
+  metadata             jsonb NOT NULL DEFAULT '{}'::jsonb
+);
+
+CREATE INDEX IF NOT EXISTS feedback_merge_events_occurred_idx
+  ON semo_ops.feedback_merge_events (occurred_at DESC);
+CREATE INDEX IF NOT EXISTS feedback_merge_events_target_idx
+  ON semo_ops.feedback_merge_events (target_slug);
+
+COMMENT ON TABLE semo_ops.feedback_merge_events IS
+  '병합·연결·승격·회귀 한 줄씩. 승격 문턱을 추측이 아니라 분포에서 정하기 위한 원장.';

package/migrations/214_resolve_feedback.sql

@@ -0,0 +1,140 @@
+-- 214_resolve_feedback.sql
+--
+-- 피드백의 완수는 두 곳에 있다: KB 레코드 `semicolon/feedback/<slug>` 의
+-- metadata.status 와, 짝이 되는 `action_items(source_kind='feedback')` 행.
+--
+-- 2026-08-25 실측: done 에 도달한 액션아이템 4건 중 **2건이 KB 에서 여전히 open** 이었다.
+-- 닫는 경로가 둘인데 서로를 모르기 때문이다. 이 함수가 정규 경로가 되고, 트리거가
+-- 정규 경로를 안 타는 쪽(`semo action-items done`)을 받친다.
+
+CREATE OR REPLACE FUNCTION semo_ops.resolve_feedback(
+  p_slug    text,
+  p_status  text,
+  p_reason  text DEFAULT NULL,
+  p_fix_ref text DEFAULT NULL,
+  p_actor   text DEFAULT NULL
+)
+RETURNS TABLE(kb_id bigint, action_item_id uuid, status text)
+LANGUAGE plpgsql
+SECURITY DEFINER
+SET search_path TO 'pg_catalog'
+AS $function$
+DECLARE
+  v_kb_id  bigint;
+  v_ai_id  uuid;
+  v_ai_status text;
+  v_meta   jsonb;
+BEGIN
+  IF p_status NOT IN ('open', 'rejected', 'fixed', 'waiting') THEN
+    RAISE EXCEPTION 'feedback status % is outside the vocabulary', p_status
+      USING ERRCODE = '22023';
+  END IF;
+
+  -- 212 의 트리거도 이걸 막지만, 여기서 먼저 막아야 액션아이템을 건드리기 전에 멈춘다.
+  IF p_status = 'rejected' AND coalesce(btrim(p_reason), '') = '' THEN
+    RAISE EXCEPTION 'a rejected feedback requires a reason' USING ERRCODE = '22023';
+  END IF;
+
+  v_ai_status := CASE p_status
+    WHEN 'fixed'    THEN 'done'
+    WHEN 'rejected' THEN 'cancelled'
+    WHEN 'waiting'  THEN 'blocked'
+    ELSE 'open'
+  END;
+
+  PERFORM pg_advisory_xact_lock(hashtextextended('feedback:' || p_slug, 0));
+
+  v_meta := jsonb_build_object('status', p_status)
+         || CASE WHEN p_reason  IS NULL THEN '{}'::jsonb
+                 ELSE jsonb_build_object('rejected_reason', p_reason) END
+         || CASE WHEN p_fix_ref IS NULL THEN '{}'::jsonb
+                 ELSE jsonb_build_object('fix_ref', p_fix_ref) END
+         || CASE WHEN p_actor   IS NULL THEN '{}'::jsonb
+                 ELSE jsonb_build_object('resolved_by', p_actor) END
+         || jsonb_build_object('resolved_at', to_char(clock_timestamp(),
+                                'YYYY-MM-DD"T"HH24:MI:SSOF'));
+
+  UPDATE semo_ops.knowledge_base AS kb
+     SET metadata = coalesce(kb.metadata, '{}'::jsonb) || v_meta,
+         updated_at = clock_timestamp()
+   WHERE kb.domain = 'semicolon' AND kb.key = 'feedback' AND kb.sub_key = p_slug
+  RETURNING kb.kb_id INTO v_kb_id;
+
+  IF v_kb_id IS NULL THEN
+    RAISE EXCEPTION 'no feedback record at semicolon/feedback/%', p_slug
+      USING ERRCODE = 'P0002';
+  END IF;
+
+  -- 액션아이템은 없을 수도 있다 — 2026-08-10 이전 656건에는 아예 만들어지지 않았다.
+  -- 없는 것은 오류가 아니다. 그 경우 action_item_id 는 NULL 로 돌려준다.
+  UPDATE semo_ops.action_items AS ai
+     SET status = v_ai_status,
+         completed_at = CASE WHEN v_ai_status IN ('done', 'cancelled')
+                             THEN clock_timestamp() ELSE NULL END,
+         updated_at = clock_timestamp()
+   WHERE ai.source_kind = 'feedback' AND ai.source_ref = p_slug
+     AND ai.status IS DISTINCT FROM v_ai_status
+  RETURNING ai.action_item_id INTO v_ai_id;
+
+  RETURN QUERY SELECT v_kb_id, v_ai_id, p_status;
+END;
+$function$;
+
+COMMENT ON FUNCTION semo_ops.resolve_feedback(text, text, text, text, text) IS
+  'KB 레코드와 짝 액션아이템의 상태를 한 트랜잭션에서 맞춘다. 대시보드 뒤집기와 '
+  '해소 루프의 정규 경로.';
+
+-- ── 안전망 ────────────────────────────────────────────────────────────
+-- `semo action-items done` 은 위 함수를 타지 않는다. 그 경로로 닫힌 것을 KB 에 옮긴다.
+-- 반대 방향 트리거는 두지 않는다 — KB 쪽(212)은 검증만 하고, 양방향이면 서로를 부른다.
+
+-- SECURITY DEFINER: 이 트리거는 action_items 를 직접 UPDATE 하는 어떤 롤에서도 발동한다.
+-- sc_ops_records 처럼 action_items 는 쓰지만 knowledge_base 는 못 쓰는 롤이 있으면
+-- (게이트웨이 SECURITY DEFINER 경로를 거치지 않고 직접 UPDATE 하는 경우), INVOKER 트리거는
+-- KB UPDATE 에서 permission denied 를 내고 그 예외가 원래의 action_items UPDATE 전체를
+-- 롤백시킨다 — 안전망이 안전망이 아니라 걸림돌이 된다. search_path 고정은 이미 되어 있고
+-- 이 함수가 건드리는 행은 domain='semicolon' AND key='feedback' AND sub_key=NEW.source_ref
+-- 하나로 좁혀지므로 반경은 제한적이다.
+CREATE OR REPLACE FUNCTION semo_ops.feedback_action_item_sync()
+RETURNS trigger
+LANGUAGE plpgsql
+SECURITY DEFINER
+SET search_path TO 'pg_catalog'
+AS $function$
+DECLARE
+  v_status text;
+BEGIN
+  v_status := CASE NEW.status
+    WHEN 'done'      THEN 'fixed'
+    WHEN 'cancelled' THEN 'rejected'
+    ELSE NULL
+  END;
+  IF v_status IS NULL THEN
+    RETURN NEW;
+  END IF;
+
+  UPDATE semo_ops.knowledge_base AS kb
+     SET metadata = coalesce(kb.metadata, '{}'::jsonb)
+                  || jsonb_build_object('status', v_status)
+                  -- cancelled 는 사유 없는 rejected 가 될 수 있다. 212 의 트리거가
+                  -- 그걸 거절하므로, 액션아이템 경로로 닫힌 것에는 출처를 사유로 단다.
+                  || CASE WHEN v_status = 'rejected'
+                            AND coalesce(btrim(kb.metadata ->> 'rejected_reason'), '') = ''
+                          THEN jsonb_build_object('rejected_reason',
+                                 '액션아이템이 cancelled 로 닫혔다 (source_ref=' || NEW.source_ref || ')')
+                          ELSE '{}'::jsonb END,
+         updated_at = clock_timestamp()
+   WHERE kb.domain = 'semicolon' AND kb.key = 'feedback'
+     AND kb.sub_key = NEW.source_ref
+     AND coalesce(kb.metadata ->> 'status', 'open') IS DISTINCT FROM v_status;
+
+  RETURN NEW;
+END;
+$function$;
+
+DROP TRIGGER IF EXISTS feedback_action_item_sync ON semo_ops.action_items;
+CREATE TRIGGER feedback_action_item_sync
+AFTER UPDATE OF status ON semo_ops.action_items
+FOR EACH ROW
+WHEN (NEW.source_kind = 'feedback' AND NEW.status IS DISTINCT FROM OLD.status)
+EXECUTE FUNCTION semo_ops.feedback_action_item_sync();