@team-semicolon/semicolony-cli 4.18.66 → 4.18.68

package/migrations/175_hive_cron_board_grants.sql

@@ -0,0 +1,16 @@
+-- 175_hive_cron_board_grants.sql
+--
+-- SEMO Ops hive-cron 실행 관측 보드의 읽기 권한.
+--
+-- 설계: semo-ops docs/superpowers/specs/2026-07-29-semo-ops-worker-fleet-board-design.md
+--       (같은 ops 표면의 두 번째 조각)
+--
+-- 원칙:
+--   - 관측 전용이다. 쓰기 권한을 주지 않는다 — 크론 잡 활성/비활성은 이 보드의
+--     범위가 아니며, 권한을 미리 열어두지 않는다.
+--   - 스키마는 174 와 같은 semo_ops (team_knowledge_fabric DB).
+--
+-- Safety: additive only. Runner가 BEGIN/COMMIT으로 감싸므로 트랜잭션 구문을 넣지 않는다.
+
+GRANT SELECT ON TABLE semo_ops.hive_cron_jobs TO sc_fleet_board;
+GRANT SELECT ON TABLE semo_ops.hive_cron_job_runs TO sc_fleet_board;

package/migrations/176_kf_ops_observer_principal.sql

@@ -0,0 +1,76 @@
+-- 176_kf_ops_observer_principal.sql
+--
+-- Knowledge Fabric 임포트 관측용 전용 principal.
+--
+-- 배경: knowledge_fabric 테이블은 FORCE RLS 에 명시적 principal 모델
+--   (owner / app / import_verifier / migrator / query_issuer)을 갖춘 격리
+--   서브시스템이다. 대시보드 롤(sc_fleet_board)에 GRANT 만 주면 정책 대상이
+--   아니라 0행만 보인다(2026-07-29 실측). 그래서 GRANT 를 얹는 대신 기존
+--   규약대로 **전용 principal 을 신설**한다.
+--
+-- 경계:
+--   - SELECT 전용. 쓰기 명령은 정책 자체를 만들지 않는다.
+--   - 대상 테이블 3개(batches/events/items)로 한정한다. relation·approval·
+--     projection 계열은 건드리지 않는다.
+--   - items 는 지식 본문(envelope, record_document)과 acl 을 담고 있어
+--     **집계에 필요한 두 컬럼만** 준다. 본문은 이 principal 로 읽을 수 없다.
+--   - bypassrls 를 주지 않는다. 다른 KF principal 과 같은 지위다.
+--
+-- 정책 술어를 scope GUC 가 아니라 true 로 두는 이유: 이 principal 의 용도가
+--   "임포트 원장 전체를 관측"하는 것이라, scope 를 하나씩 지정하면 새 scope 가
+--   생겼을 때 보드에서 조용히 사라진다 — 관측 보드에서 가장 위험한 실패다.
+--   SELECT 전용 + 컬럼 제한이라 owner(ALL 명령) 보다 엄격하게 유지된다.
+--
+-- Safety: additive only. Runner가 BEGIN/COMMIT으로 감싸므로 트랜잭션 구문을 넣지 않는다.
+
+DO $$
+BEGIN
+  IF NOT EXISTS (SELECT 1 FROM pg_roles WHERE rolname = 'team_knowledge_fabric_ops_observer') THEN
+    CREATE ROLE team_knowledge_fabric_ops_observer LOGIN NOINHERIT;
+  END IF;
+END
+$$;
+
+COMMENT ON ROLE team_knowledge_fabric_ops_observer IS
+  'Read-only observation principal for the SEMO Ops import board. SELECT only, no knowledge bodies.';
+
+DO $$
+BEGIN
+  EXECUTE format(
+    'GRANT CONNECT ON DATABASE %I TO team_knowledge_fabric_ops_observer',
+    current_database()
+  );
+END
+$$;
+
+GRANT USAGE ON SCHEMA knowledge_fabric TO team_knowledge_fabric_ops_observer;
+
+GRANT SELECT ON TABLE knowledge_fabric.knowledge_import_batches
+  TO team_knowledge_fabric_ops_observer;
+GRANT SELECT ON TABLE knowledge_fabric.knowledge_import_events
+  TO team_knowledge_fabric_ops_observer;
+
+-- 본문·ACL 제외. 집계에 필요한 컬럼만.
+GRANT SELECT (scope_id, batch_id) ON TABLE knowledge_fabric.knowledge_import_items
+  TO team_knowledge_fabric_ops_observer;
+
+DROP POLICY IF EXISTS knowledge_import_batches_ops_observer_read
+  ON knowledge_fabric.knowledge_import_batches;
+CREATE POLICY knowledge_import_batches_ops_observer_read
+  ON knowledge_fabric.knowledge_import_batches
+  FOR SELECT TO team_knowledge_fabric_ops_observer
+  USING (true);
+
+DROP POLICY IF EXISTS knowledge_import_events_ops_observer_read
+  ON knowledge_fabric.knowledge_import_events;
+CREATE POLICY knowledge_import_events_ops_observer_read
+  ON knowledge_fabric.knowledge_import_events
+  FOR SELECT TO team_knowledge_fabric_ops_observer
+  USING (true);
+
+DROP POLICY IF EXISTS knowledge_import_items_ops_observer_read
+  ON knowledge_fabric.knowledge_import_items;
+CREATE POLICY knowledge_import_items_ops_observer_read
+  ON knowledge_fabric.knowledge_import_items
+  FOR SELECT TO team_knowledge_fabric_ops_observer
+  USING (true);

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@team-semicolon/semicolony-cli",
-  "version": "4.18.66",
+  "version": "4.18.68",
   "description": "SemiColony CLI - AI operations and agent orchestration installer",
   "main": "dist/bundle.js",
   "bin": {
@@ -71,6 +71,7 @@
   },
   "files": [
     "dist",
+    "native-bin",
     "migrations",
     "migrations-sqlite",
     "README.md",