@team-semicolon/semicolony-cli 4.18.120 → 4.18.121

package/migrations/215_record_feedback_recurrence.sql

@@ -0,0 +1,424 @@
+-- 215_record_feedback_recurrence.sql
+--
+-- 재발을 포착 시점에 판정한다.
+--
+-- 지금 중복 판정은 `p_slug` 일치뿐인데, slug 끝에 내용 해시 8자가 붙어 있어 사실상
+-- 발동하지 않는다. 그래서 같은 실패의 재보고가 매번 새 레코드가 됐고, 2026-08-25 기준
+-- open 634건이 쌓였다.
+--
+-- 거리 3구간으로 가른다(문턱은 semo_ops.feedback_policy). 병합 구간 아래는 제목까지
+-- 같은 재보고이므로 접고, 그 위 연결 구간은 서비스가 다른 건과 같은 파일 건이 섞여
+-- 거리로 못 가르므로 표시만 하고 트리아지에 넘긴다.
+--
+-- 비용은 실측 20.6ms(828행 전량 스캔)다. 앞선 임베딩 API 호출이 그보다 한 자릿수 크다.
+--
+-- 반환에 merged·occurrences 두 열이 붙으므로 CREATE OR REPLACE 만으로는 바꿀 수 없다
+-- ("cannot change return type of existing function" — 2026-08-31 실측). 먼저 떨어뜨리고
+-- 다시 만든 뒤, 재생성으로 PUBLIC 으로 되돌아간 실행 권한을 원래대로(app + sc_app)
+-- 복원한다. 되돌릴 때도 같은 이유로 DROP 이 먼저다.
+
+DROP FUNCTION IF EXISTS semo_ops.record_feedback(
+  text, text, text, jsonb, text, text, text
+);
+
+CREATE OR REPLACE FUNCTION semo_ops.record_feedback(
+  p_slug      text,
+  p_summary   text,
+  p_content   text,
+  p_metadata  jsonb,
+  p_embedding text,
+  p_worker_id text,
+  p_device_id text
+)
+RETURNS TABLE(kb_id bigint, action_item_id uuid, duplicate boolean,
+              merged boolean, occurrences int)
+LANGUAGE plpgsql
+SECURITY DEFINER
+SET search_path TO 'pg_catalog'
+AS $function$
+DECLARE
+  v_kb_id bigint;
+  v_action_item_id uuid;
+  v_duplicate boolean := false;
+  v_merged boolean := false;
+  v_occurrences int := 1;
+  v_metadata jsonb;
+  v_priority text;
+  v_source text;
+  -- 재발 판정
+  v_merge_distance numeric;
+  v_link_distance numeric;
+  v_promote_occurrences int;
+  v_promote_distinct_hosts int;
+  v_near_id bigint;
+  v_near_slug text;
+  v_near_status text;
+  v_near_meta jsonb;
+  v_near_severity text;
+  v_distance numeric;
+  v_hosts jsonb;
+  v_distinct_hosts int;
+  v_new_status text;
+  v_event_kind text;
+  v_promoted boolean := false;
+BEGIN
+  -- ── 검증 블록 (기존 정의에서 한 글자도 바꾸지 않고 그대로 옮겼다) ────
+  IF p_slug IS NULL
+     OR char_length(p_slug) < 3
+     OR char_length(p_slug) > 60
+     OR p_slug !~ '^[[:alnum:]가-힣][[:alnum:]가-힣-]*$' THEN
+    RAISE EXCEPTION 'invalid feedback slug' USING ERRCODE = '22023';
+  END IF;
+  IF p_summary IS NULL OR char_length(btrim(p_summary)) < 8 OR char_length(p_summary) > 500 THEN
+    RAISE EXCEPTION 'invalid feedback summary' USING ERRCODE = '22023';
+  END IF;
+  IF p_content IS NULL OR char_length(p_content) < 30 OR char_length(p_content) > 30000 THEN
+    RAISE EXCEPTION 'invalid feedback content' USING ERRCODE = '22023';
+  END IF;
+  IF p_metadata IS NULL OR jsonb_typeof(p_metadata) <> 'object' THEN
+    RAISE EXCEPTION 'invalid feedback metadata' USING ERRCODE = '22023';
+  END IF;
+  IF p_metadata ->> 'category' NOT IN ('context-failure', 'env-drift', 'policy-gap', 'tooling') THEN
+    RAISE EXCEPTION 'invalid feedback category' USING ERRCODE = '22023';
+  END IF;
+  v_priority := coalesce(p_metadata ->> 'severity', 'normal');
+  IF v_priority NOT IN ('low', 'normal', 'high', 'urgent') THEN
+    RAISE EXCEPTION 'invalid feedback severity' USING ERRCODE = '22023';
+  END IF;
+  IF p_worker_id IS NULL OR p_worker_id !~ '^[a-z][a-z0-9-]{0,63}$'
+     OR p_device_id IS NULL
+     OR (p_device_id !~ '^[a-z][a-z0-9-]{0,99}$'
+         AND p_device_id <> 'hermes-principals@hermes') THEN
+    RAISE EXCEPTION 'invalid worker/device binding' USING ERRCODE = '22023';
+  END IF;
+
+  v_source := coalesce(p_metadata ->> 'source', 'session-hook');
+  IF v_source NOT IN ('session-hook', 'runtime-native-tool') THEN
+    RAISE EXCEPTION 'invalid feedback source' USING ERRCODE = '22023';
+  END IF;
+  IF v_source = 'runtime-native-tool' AND NOT (
+    p_worker_id IN ('semi', 'colony')
+    AND p_device_id = 'hermes-principals@hermes'
+    AND p_metadata ->> 'reported_by' = p_worker_id
+    AND p_metadata ->> 'installation_id' = 'hermes-principals@hermes'
+    AND p_metadata ->> 'runtime_kind' = 'hermes-cli'
+    AND p_metadata ->> 'profile_id' = 'semo-ops-worker-agent'
+    AND (
+      (p_worker_id = 'semi' AND p_metadata ->> 'runtime_profile' = 'semo-semi')
+      OR (p_worker_id = 'colony' AND p_metadata ->> 'runtime_profile' = 'semo-colony')
+    )
+  ) THEN
+    RAISE EXCEPTION 'invalid runtime-native feedback attribution' USING ERRCODE = '22023';
+  END IF;
+
+  PERFORM p_embedding::public.vector;
+  PERFORM pg_advisory_xact_lock(hashtextextended('feedback:' || p_slug, 0));
+
+  v_priority := coalesce(p_metadata ->> 'severity', 'normal');
+  v_source := coalesce(p_metadata ->> 'source', 'session-hook');
+
+  -- ── 정책 ─────────────────────────────────────────────────────────
+  SELECT fp.merge_distance, fp.link_distance,
+         fp.promote_occurrences, fp.promote_distinct_hosts
+    INTO v_merge_distance, v_link_distance,
+         v_promote_occurrences, v_promote_distinct_hosts
+    FROM semo_ops.feedback_policy fp
+   WHERE fp.id = 1;
+
+  IF NOT FOUND THEN
+    -- 부재는 기본값이 아니다. 문턱을 지어내느니 포착을 실패시킨다 —
+    -- 실패는 보이지만 잘못된 기본값은 안 보인다.
+    RAISE EXCEPTION 'semo_ops.feedback_policy has no row; refusing to guess the recurrence thresholds'
+      USING ERRCODE = 'P0002';
+  END IF;
+
+  -- ── 가장 가까운 기존 레코드 ──────────────────────────────────────
+  -- 같은 slug 를 제외하지 않는다. 같은 slug 의 재보고가 바로 재발이고, 그 경우
+  -- 거리는 0 이라 병합 경로가 받는다 — 예전 ON CONFLICT 가 fixed 를 open 으로
+  -- 되돌리던 자리를 이 경로가 가져간다.
+  --
+  -- 거리 연산자는 스키마를 붙여 쓴다. 이 함수의 search_path 는 pg_catalog 하나뿐이라
+  -- 맨 <=> 는 "operator does not exist" 로 죽는다 (2026-08-31 실측).
+  SELECT k.kb_id, k.sub_key, coalesce(k.metadata ->> 'status', 'open'),
+         coalesce(k.metadata, '{}'::jsonb),
+         (k.embedding OPERATOR(public.<=>) p_embedding::public.vector)
+    INTO v_near_id, v_near_slug, v_near_status, v_near_meta, v_distance
+    FROM semo_ops.knowledge_base k
+   WHERE k.domain = 'semicolon' AND k.key = 'feedback'
+     AND coalesce(k.archived, false) = false
+     AND k.embedding IS NOT NULL
+   ORDER BY k.embedding OPERATOR(public.<=>) p_embedding::public.vector
+   LIMIT 1;
+
+  -- ── 병합 구간 ────────────────────────────────────────────────────
+  IF v_near_id IS NOT NULL AND v_distance < v_merge_distance THEN
+    v_merged := true;
+    v_occurrences := coalesce((v_near_meta ->> 'occurrences')::int, 1) + 1;
+
+    -- 호스트는 중복 없이 모은다. 두 번째 기기의 첫 재발이 횟수보다 강한 신호다 —
+    -- open 634건 중 620건이 한 기기에서 나왔기 때문이다.
+    --
+    -- 대상에 device_id 가 없으면 보고한 기기로 시드한다. 우리는 원래 호스트를 모르는
+    -- 것이지, 다른 호스트인 것이 아니다. 모르면 같은 것으로 센다 — 그래야 진짜 두 번째
+    -- 기기가 나타났을 때만 2가 된다. 자리표시자를 하나 끼워 넣으면 device_id 없는 행
+    -- (2026-08-31 실측: open 738건 중 363건, fixed 179건 중 112건)에서 첫 재발만으로
+    -- distinct_hosts 가 2가 되어 승격의 호스트 조건이 늘 참이 된다.
+    v_hosts := coalesce(v_near_meta -> 'occurrence_hosts',
+                        to_jsonb(ARRAY[coalesce(v_near_meta ->> 'device_id', p_device_id)]));
+    IF NOT (v_hosts @> to_jsonb(ARRAY[p_device_id])) THEN
+      v_hosts := v_hosts || to_jsonb(ARRAY[p_device_id]);
+    END IF;
+    v_distinct_hosts := jsonb_array_length(v_hosts);
+
+    v_near_severity := coalesce(v_near_meta ->> 'severity', 'normal');
+    v_new_status := v_near_status;
+    v_event_kind := 'merged';
+
+    IF v_near_status = 'fixed' THEN
+      -- 고쳤는데 돌아왔다. 이 시스템이 낼 수 있는 가장 값진 신호라 자율 기각이
+      -- 개입하지 않는다 — 문턱을 보지 않고 바로 연다.
+      v_new_status := 'open';
+      v_event_kind := 'regressed';
+      v_near_severity := CASE v_near_severity
+        WHEN 'low' THEN 'normal' WHEN 'normal' THEN 'high'
+        WHEN 'high' THEN 'urgent' ELSE 'urgent' END;
+      v_promoted := true;
+
+    ELSIF v_near_status = 'rejected' THEN
+      IF v_occurrences >= v_promote_occurrences
+         OR v_distinct_hosts >= v_promote_distinct_hosts THEN
+        v_new_status := 'open';
+        v_event_kind := 'promoted';
+        v_promoted := true;
+      END IF;
+    END IF;
+
+    UPDATE semo_ops.knowledge_base AS kb
+       SET content = kb.content
+                  || E'\n\n## 재발 ' || to_char(clock_timestamp(), 'YYYY-MM-DD')
+                  || E'\n\n- 호스트: ' || p_device_id
+                  || E'\n- 세션: ' || coalesce(p_metadata ->> 'session_id', '-')
+                  || E'\n- 요약: ' || btrim(p_summary)
+                  || E'\n- 거리: ' || round(v_distance, 4)
+                  || E'\n',
+           metadata = coalesce(kb.metadata, '{}'::jsonb)
+                    || jsonb_build_object(
+                         'status', v_new_status,
+                         'severity', v_near_severity,
+                         'occurrences', v_occurrences,
+                         'occurrence_hosts', v_hosts,
+                         'last_occurred_at', to_char(clock_timestamp(),
+                                              'YYYY-MM-DD"T"HH24:MI:SSOF'),
+                         -- 생기지 않은 slug. 병합이 틀렸을 때 되짚는 실이다.
+                         'merged_from',
+                         coalesce(kb.metadata -> 'merged_from', '[]'::jsonb)
+                           || to_jsonb(ARRAY[p_slug]))
+                    || CASE WHEN v_event_kind = 'regressed'
+                            THEN jsonb_build_object('regressed_at',
+                                   to_char(clock_timestamp(), 'YYYY-MM-DD"T"HH24:MI:SSOF'))
+                            ELSE '{}'::jsonb END
+                    || CASE WHEN v_event_kind = 'promoted'
+                            THEN jsonb_build_object('promoted_at',
+                                   to_char(clock_timestamp(), 'YYYY-MM-DD"T"HH24:MI:SSOF'))
+                            ELSE '{}'::jsonb END
+                    -- 승격·회귀로 다시 열리면 기각 사유는 이력이지 현재가 아니다.
+                    || CASE WHEN v_new_status = 'open'
+                            THEN jsonb_build_object('rejected_reason', NULL)
+                            ELSE '{}'::jsonb END,
+           archived = false,
+           updated_at = clock_timestamp()
+     WHERE kb.kb_id = v_near_id;
+
+    INSERT INTO semo_ops.feedback_merge_events
+      (kind, source_slug, target_slug, distance, occurrences_after,
+       distinct_hosts_after, target_status_before, metadata)
+    VALUES
+      (v_event_kind, p_slug, v_near_slug, v_distance, v_occurrences,
+       v_distinct_hosts, v_near_status,
+       jsonb_build_object('device_id', p_device_id, 'worker_id', p_worker_id,
+                          'category', p_metadata ->> 'category'));
+
+    -- 다시 열렸는데 살아 있는 액션아이템이 없으면 만든다. 승격이 화면에 안 보이면
+    -- 승격이 아니다.
+    SELECT ai.action_item_id INTO v_action_item_id
+      FROM semo_ops.action_items ai
+     WHERE ai.source_kind = 'feedback' AND ai.source_ref = v_near_slug
+       AND ai.status IN ('open', 'in_progress', 'blocked')
+     ORDER BY ai.created_at DESC LIMIT 1;
+
+    IF v_promoted AND v_action_item_id IS NULL THEN
+      v_action_item_id := semo_ops.create_action_item(
+        p_description        => '[SEMO Ops feedback] ' || btrim(p_summary),
+        p_project_domain     => 'semo-ops',
+        p_deadline           => semo_ops.action_item_default_deadline(v_near_severity),
+        p_assignee_kind      => 'unassigned',
+        p_assignee_member    => NULL,
+        p_assignee_agent     => NULL,
+        p_assignee_device    => NULL,
+        p_priority           => v_near_severity,
+        p_source_kind        => 'feedback',
+        p_source_ref         => v_near_slug,
+        p_related_url        => 'semo kb get semicolon feedback ' || v_near_slug,
+        p_external_contact   => NULL,
+        p_metadata           => p_metadata,
+        p_origin_surface     => 'worker',
+        p_origin_actor_kind  => CASE WHEN v_source = 'runtime-native-tool'
+                                     THEN 'agent' ELSE 'human' END,
+        p_origin_member      => CASE WHEN v_source = 'runtime-native-tool'
+                                     THEN NULL ELSE p_worker_id END,
+        p_origin_agent       => CASE WHEN v_source = 'runtime-native-tool'
+                                     THEN p_worker_id ELSE NULL END,
+        p_origin_device      => p_device_id,
+        p_origin_harness     => CASE WHEN v_source = 'runtime-native-tool'
+                                     THEN NULL ELSE 'cli' END,
+        p_origin_session_key => p_metadata ->> 'session_key');
+    END IF;
+
+    RETURN QUERY SELECT v_near_id, v_action_item_id, true, true, v_occurrences;
+    RETURN;
+  END IF;
+
+  -- ── 연결 구간 ────────────────────────────────────────────────────
+  -- 자동 병합하지 않는다. 이 거리대에는 서비스가 다른 건(SemiClass ↔ semi-colon-ops)과
+  -- 같은 파일 건이 섞여 있고, 거리로는 그 둘이 갈리지 않는다. 표시만 하고 트리아지가 본다.
+  v_metadata := p_metadata || jsonb_build_object(
+    'status', 'open',
+    'source', v_source,
+    'worker_id', p_worker_id,
+    'device_id', p_device_id,
+    'occurrences', 1,
+    'occurrence_hosts', to_jsonb(ARRAY[p_device_id]));
+
+  IF v_near_id IS NOT NULL AND v_distance < v_link_distance THEN
+    v_metadata := v_metadata || jsonb_build_object('related_to', v_near_slug,
+                                                   'related_distance', round(v_distance, 5));
+    INSERT INTO semo_ops.feedback_merge_events
+      (kind, source_slug, target_slug, distance, occurrences_after,
+       distinct_hosts_after, target_status_before, metadata)
+    VALUES ('linked', p_slug, v_near_slug, v_distance, 1, 1, v_near_status,
+            jsonb_build_object('device_id', p_device_id));
+  END IF;
+
+  -- ── 신규 ────────────────────────────────────────────────────────
+  INSERT INTO semo_ops.knowledge_base AS kb (
+    domain, key, sub_key, content, created_by, embedding, metadata
+  ) VALUES (
+    'semicolon', 'feedback', p_slug, p_content,
+    'feedback-pipeline:' || p_worker_id, p_embedding::public.vector, v_metadata
+  )
+  -- 같은 slug 재보고는 새 기록이 아니라 재발이다. 최근접 탐색이 못 본 행
+  -- (archived 이거나 임베딩이 없는 행)만 여기로 오므로, 병합 경로와 같은 규칙을
+  -- 적용해야 카운터와 이력이 살아남는다.
+  ON CONFLICT (domain, key, sub_key) DO UPDATE SET
+    -- 본문을 덮어쓰지 않는다. 병합 경로처럼 재발 절을 덧붙인다 — 덮어쓰면 그동안
+    -- 쌓인 `## 재발` 절이 통째로 사라진다.
+    content = kb.content
+           || E'\n\n## 재발 ' || to_char(clock_timestamp(), 'YYYY-MM-DD')
+           || E'\n\n- 호스트: ' || p_device_id
+           || E'\n- 세션: ' || coalesce(p_metadata ->> 'session_id', '-')
+           || E'\n- 요약: ' || btrim(p_summary)
+           || E'\n- 경로: 같은 slug 재보고 (최근접 탐색이 보지 못한 행)'
+           || E'\n',
+    embedding = EXCLUDED.embedding,
+    -- status 를 빼고 병합한다. 예전 판은 무조건 'open' 으로 덮어써서, 같은 slug
+    -- 재보고가 이미 fixed 인 항목을 조용히 되돌렸다.
+    --
+    -- 재발 카운터 셋도 함께 뺀다. EXCLUDED 는 언제나 occurrences=1 과 이번 기기
+    -- 하나짜리 occurrence_hosts 를 들고 오므로, 그대로 병합하면 그동안 센 횟수와
+    -- 호스트 목록과 merged_from 이 첫 재보고 한 번으로 0으로 돌아간다. 자율 기각
+    -- 아래에서 이 카운터가 유일한 안전망이라 조용히 지워지는 것이 최악이다.
+    --
+    -- 빼놓고 끝내지 않는다. 이 경로도 재발이므로 횟수를 올리고 호스트를 중복 없이
+    -- 더한다. 세는 자리를 비워 두면 트리아지가 보는 숫자가 재보고 때마다 제자리다.
+    --
+    -- 다만 상태 반응(승격·회귀)은 여기서 하지 않는다. 이 경로는 최근접 탐색이 병합
+    -- 거리 안에서 아무것도 못 찾았는데 slug 는 이미 있는 경우 — 즉 기존 행이
+    -- archived 이거나 임베딩이 없는 경우 — 에만 닿는다. archived 중복은 그 문제의
+    -- 정본이 아니다. 정본은 그 병합 대상이고 대상은 archived 가 아니므로 최근접이
+    -- 거리 0 으로 찾아 병합 경로에서 이미 끝난다. 그래서 실제로 여기 오는 것은
+    -- 임베딩 없는 레거시 행의 재보고이고, 거기서 승격을 판정할 근거가 우리에겐 없다.
+    -- 횟수는 오르므로 트리아지에는 보인다.
+    metadata = coalesce(kb.metadata, '{}'::jsonb)
+             || (EXCLUDED.metadata - 'status' - 'occurrences' - 'occurrence_hosts' - 'merged_from')
+             || jsonb_build_object(
+                  'occurrences', coalesce((kb.metadata ->> 'occurrences')::int, 0) + 1,
+                  'occurrence_hosts',
+                  CASE WHEN coalesce(kb.metadata -> 'occurrence_hosts',
+                                     to_jsonb(ARRAY[coalesce(kb.metadata ->> 'device_id',
+                                                             p_device_id)]))
+                            @> to_jsonb(ARRAY[p_device_id])
+                       THEN coalesce(kb.metadata -> 'occurrence_hosts',
+                                     to_jsonb(ARRAY[coalesce(kb.metadata ->> 'device_id',
+                                                             p_device_id)]))
+                       ELSE coalesce(kb.metadata -> 'occurrence_hosts',
+                                     to_jsonb(ARRAY[coalesce(kb.metadata ->> 'device_id',
+                                                             p_device_id)]))
+                            || to_jsonb(ARRAY[p_device_id])
+                  END),
+    archived = false,
+    updated_at = clock_timestamp()
+  -- 저장된 값을 그대로 돌려준다. 리터럴 1 은 "4번째 재발" 을 1번째라고 말한다.
+  RETURNING kb.kb_id, coalesce((kb.metadata ->> 'occurrences')::int, 1)
+       INTO v_kb_id, v_occurrences;
+
+  SELECT ai.action_item_id INTO v_action_item_id
+    FROM semo_ops.action_items AS ai
+   WHERE ai.source_kind = 'feedback'
+     AND ai.status IN ('open', 'in_progress', 'blocked')
+     AND ai.source_ref = p_slug
+   ORDER BY ai.created_at DESC
+   LIMIT 1
+   FOR UPDATE;
+
+  IF v_action_item_id IS NULL THEN
+    SELECT true INTO v_duplicate
+      FROM semo_ops.action_items_archive_20260812 AS old
+     WHERE old.source = 'feedback'
+       AND old.status IN ('completed', 'cancelled')
+       AND old.metadata ->> 'feedback_slug' = p_slug
+     LIMIT 1;
+    v_duplicate := coalesce(v_duplicate, false);
+  ELSE
+    v_duplicate := true;
+  END IF;
+
+  IF NOT v_duplicate THEN
+    v_action_item_id := semo_ops.create_action_item(
+      p_description        => '[SEMO Ops feedback] ' || btrim(p_summary),
+      p_project_domain     => 'semo-ops',
+      p_deadline           => semo_ops.action_item_default_deadline(v_priority),
+      p_assignee_kind      => 'unassigned',
+      p_assignee_member    => NULL,
+      p_assignee_agent     => NULL,
+      p_assignee_device    => NULL,
+      p_priority           => v_priority,
+      p_source_kind        => 'feedback',
+      p_source_ref         => p_slug,
+      p_related_url        => 'semo kb get semicolon feedback ' || p_slug,
+      p_external_contact   => NULL,
+      p_metadata           => p_metadata,
+      p_origin_surface     => 'worker',
+      p_origin_actor_kind  => CASE WHEN v_source = 'runtime-native-tool'
+                                   THEN 'agent' ELSE 'human' END,
+      p_origin_member      => CASE WHEN v_source = 'runtime-native-tool'
+                                   THEN NULL ELSE p_worker_id END,
+      p_origin_agent       => CASE WHEN v_source = 'runtime-native-tool'
+                                   THEN p_worker_id ELSE NULL END,
+      p_origin_device      => p_device_id,
+      p_origin_harness     => CASE WHEN v_source = 'runtime-native-tool'
+                                   THEN NULL ELSE 'cli' END,
+      p_origin_session_key => p_metadata ->> 'session_key');
+  END IF;
+
+  RETURN QUERY SELECT v_kb_id, v_action_item_id, v_duplicate, false, v_occurrences;
+END;
+$function$;
+
+-- 재생성으로 실행 권한이 PUBLIC 으로 되돌아갔다. 교체 전 ACL(app=X/app | sc_app=X/app)
+-- 을 그대로 복원한다 — 게이트웨이는 sc_app 으로 붙는다.
+REVOKE ALL ON FUNCTION semo_ops.record_feedback(
+  text, text, text, jsonb, text, text, text
+) FROM PUBLIC;
+GRANT EXECUTE ON FUNCTION semo_ops.record_feedback(
+  text, text, text, jsonb, text, text, text
+) TO sc_app;

package/migrations/216_ops_board_feedback_reverse.sql

@@ -0,0 +1,49 @@
+-- 216_ops_board_feedback_reverse.sql
+--
+-- 자율 기각을 켜는 이상 사람이 되돌리는 경로가 UI 에 있어야 한다. 없으면 안전장치는
+-- 문서에만 존재한다.
+--
+-- 보드 롤(`sc_fleet_board`)은 SELECT 만 갖는다. 그 롤에 표 쓰기를 열지 않고,
+-- SECURITY DEFINER 함수 하나의 실행권만 준다 — 쓰기의 모양이 그 함수 안에 갇힌다.
+--
+-- SECURITY DEFINER 함수는 기본값이 PUBLIC 실행 가능이다. 권한을 좁히는 것은 GRANT 를
+-- 더하는 것이 아니라 PUBLIC 을 걷어내는 것이다 — GRANT 만 쓰면 아무것도 닫히지 않는다.
+-- 214 는 이걸 빠뜨렸다: 실측 결과 `resolve_feedback` 의 proacl 에 `=X/app`(PUBLIC) 이
+-- 그대로 남아 있었고, worker Gateway 롤 `sc_app` 이 인터넷에서 닿는 롤이므로
+-- 사실상 누구나 이 SECURITY DEFINER 쓰기 함수를 호출할 수 있었다(record_feedback 은
+-- 215 가 이미 PUBLIC 을 걷어냈다 — 여기 214/216 만 빠졌던 것). REVOKE 를 먼저 하고
+-- 그다음에 필요한 롤에만 명시적으로 GRANT 한다. `app` 은 소유자라 암묵적으로 유지되고,
+-- `sc_app` 에는 이 함수를 주지 않는다 — 루프는 `update_action_item` →
+-- `feedback_action_item_sync` 트리거로 이미 닫히고, sc_app 은 resolve_feedback 을
+-- 부를 이유가 없다.
+
+REVOKE ALL ON FUNCTION semo_ops.resolve_feedback(text, text, text, text, text) FROM PUBLIC;
+
+GRANT EXECUTE ON FUNCTION semo_ops.resolve_feedback(text, text, text, text, text)
+  TO sc_fleet_board;
+
+-- 실행권이 표 쓰기로 번지지 않았는지, 그리고 PUBLIC 이 다시 열리지 않았는지 확인한다.
+DO $$
+DECLARE
+  t text;
+  leaked text[] := '{}';
+BEGIN
+  FOREACH t IN ARRAY ARRAY['knowledge_base', 'action_items'] LOOP
+    IF has_table_privilege('sc_fleet_board', 'semo_ops.' || quote_ident(t), 'UPDATE')
+       OR has_table_privilege('sc_fleet_board', 'semo_ops.' || quote_ident(t), 'INSERT')
+       OR has_table_privilege('sc_fleet_board', 'semo_ops.' || quote_ident(t), 'DELETE') THEN
+      leaked := leaked || t;
+    END IF;
+  END LOOP;
+  IF array_length(leaked, 1) IS NOT NULL THEN
+    RAISE EXCEPTION 'sc_fleet_board must reach % only through resolve_feedback',
+      array_to_string(leaked, ', ');
+  END IF;
+
+  -- PUBLIC 이 이 SECURITY DEFINER 함수를 다시 실행할 수 있으면, 인터넷에서 닿는
+  -- 어떤 롤(sc_app 포함)이든 임의로 피드백 상태를 뒤집을 수 있다. 미래의 마이그레이션이
+  -- 실수로 다시 열면 여기서 막혀야 한다.
+  IF has_function_privilege('public', 'semo_ops.resolve_feedback(text,text,text,text,text)', 'EXECUTE') THEN
+    RAISE EXCEPTION 'resolve_feedback must not be executable by PUBLIC (sc_app is internet-reachable)';
+  END IF;
+END $$;

package/migrations/217_feedback_merge_distance_tighten.sql

@@ -0,0 +1,72 @@
+-- 217_feedback_merge_distance_tighten.sql
+--
+-- merge_distance 를 0.100 에서 0.030 으로 좁힌다.
+--
+-- 213 의 0.10 은 2026-08-25 표본 4쌍(전부 d<0.007)에서 "0.10 아래는 제목까지 같은
+-- 재보고" 라고 결론 낸 값이었다. semo-ops 백로그 전체에 대해 그 0.10 을 실제로 돌려
+-- 26쌍을 사람이 전부 눈으로 확인한 결과(2026-09-01), 그 결론은 26쌍 규모에서는
+-- 틀렸다:
+--
+--   - d=0.0511  Phase 5 Colony 캐너리(3343ff17…) vs Phase 5 Semi 캐너리(55672e1b…)
+--     — 같은 캐너리 템플릿, 다른 봇. 같은 문제가 아니라 봇 둘의 서로 다른 사건.
+--   - d=0.0632  Phase 7 Colony native feedback canary vs Phase 7 Semi — 위와 동일 패턴.
+--   - d=0.0648  Phase 4 Hermes Colony vs Phase 4 Hermes Semi(같은 타임스탬프) — 위와 동일 패턴.
+--   - d=0.0799  team-knowledge-fabric pipeline/config vs semi-colon-ops pipeline
+--     metadata — 같은 정책을 다른 서비스에 적용한 별개 기록. 바로 이 모양(서비스가
+--     다른데 파일/정책 문구가 같아 거리로 못 가름)이 213 의 rationale 이 0.18 을
+--     "병합 아님" 경계로 둔 이유였는데, 그 위험이 0.10 아래에서도 나타났다.
+--   - d=0.0842  works-provision §5 배포물 표 — 한쪽은 "works-mcp 가 없다", 다른
+--     쪽은 "유닛 셋만 적혀 있다". 같은 절을 가리키지만 서로 다른 결함.
+--
+-- 경계 사례로 제외한 것도 있다: d=0.0928(DATABASE_URL 이중 경로 문제가 서로 다른
+-- 두 문서에 보고됨 — 고칠 곳이 하나가 아니라 둘), d=0.0674.
+--
+-- 반대쪽 증거: 26쌍 중 "제목까지 같은 재보고" 로 의문의 여지가 없던 마지막 쌍은
+-- d=0.0253 이었고, 그 위로 다음 쌍은 d=0.0511 이었다 — 0.0253 과 0.0511 사이에는
+-- 관측된 쌍이 하나도 없다. 0.030 은 그 빈 구간 안에 있다 — 추측이 아니라 실측한
+-- 빈 구간이다. 이 값은 명백히 같은 11쌍은 병합 구간에 남기고, 위 다섯 개를 포함한
+-- 나머지 15쌍은 link_distance(0.18) 아래 "연결" 구간으로 내려보내 triage 세션이
+-- 사람 눈으로 읽고 정하게 한다 — 그 세션이 바로 이런 모호함을 위해 설계됐다.
+--
+-- production 확인(2026-09-01): merge 는 아직 0건 실행됐다(linked 4건, 전부
+-- 0.1087~0.1679, 즉 기존 0.10 문턱보다 위였다). 그러므로 이 마이그레이션은 되돌릴
+-- 잘못된 병합이 없는 교정이지, 사후 정리가 아니다.
+
+UPDATE semo_ops.feedback_policy
+   SET merge_distance = 0.030,
+       rationale =
+         '병합 거리를 0.10 → 0.030 으로 좁힌다(2026-09-01). 0.10 은 2026-08-25 표본 '
+         '4쌍(전부 d<0.007)에서 나온 값이었다. semo-ops 백로그 전체 26쌍에 그 0.10 을 '
+         '실제로 돌려 사람이 전부 확인한 결과, 0.0511 (Phase 5 Colony/Semi 캐너리 — 같은 '
+         '템플릿, 다른 봇), 0.0632 (Phase 7 Colony/Semi, 동일 패턴), 0.0648 (Phase 4 '
+         'Hermes Colony/Semi, 동일 패턴), 0.0799 (team-knowledge-fabric 대 '
+         'semi-colon-ops pipeline metadata — 서비스가 다른 별개 기록), 0.0842 '
+         '(works-provision §5 배포물 표 — 서로 다른 결함, works-mcp 부재 대 유닛 셋만 '
+         '나열) 다섯 쌍이 전부 오탐이었다. 반면 26쌍 중 의문의 여지 없는 마지막 재보고 '
+         '쌍은 0.0253 이었고 그 위 다음 쌍은 0.0511 — 그 사이엔 관측된 쌍이 없다. 0.030 '
+         '은 그 실측된 빈 구간에 있다. 위 다섯 쌍은 이제 link_distance(0.18) 아래 연결 '
+         '구간으로 내려가 triage 세션이 사람 눈으로 읽고 정한다. production 확인 결과 '
+         '이 문턱으로 실제 merge 가 실행된 적은 없다(linked 4건, 전부 0.1087~0.1679) — '
+         '되돌릴 병합이 없는 사전 교정이다. feedback_merge_events 가 새 문턱 아래에서 '
+         '몇 주 쌓이면 그 분포로 다시 정한다.',
+       updated_by = 'reus',
+       updated_at = now()
+ WHERE id = 1;
+
+-- 정확히 한 행이 있고 그 행이 새 값을 들고 있는지 확인한다. 조용히 0행이 갱신되면
+-- (예: id=1 행이 없었다면) 이후 record_feedback 은 여전히 낡은 0.10 을 읽는다.
+DO $$
+DECLARE
+  v_distance numeric;
+  v_count    int;
+BEGIN
+  SELECT count(*) INTO v_count FROM semo_ops.feedback_policy;
+  IF v_count <> 1 THEN
+    RAISE EXCEPTION 'semo_ops.feedback_policy must hold exactly one row, found %', v_count;
+  END IF;
+
+  SELECT merge_distance INTO v_distance FROM semo_ops.feedback_policy WHERE id = 1;
+  IF v_distance IS DISTINCT FROM 0.030 THEN
+    RAISE EXCEPTION 'merge_distance did not converge to 0.030, found %', v_distance;
+  END IF;
+END $$;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@team-semicolon/semicolony-cli",
-  "version": "4.18.120",
+  "version": "4.18.121",
   "description": "SemiColony CLI - AI operations and agent orchestration installer",
   "main": "dist/bundle.js",
   "bin": {