@things-factory/headless-twin 10.0.18 → 10.1.0

package/dist-server/service/reference/hook-contract.js

@@ -1,32 +1,81 @@
 "use strict";
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.HOOK_STATUS = void 0;
 exports.secretFromHeaders = secretFromHeaders;
 exports.secretMatches = secretMatches;
+exports.authorizeHook = authorizeHook;
+exports.pushCursorKey = pushCursorKey;
+exports.seqOf = seqOf;
+exports.withSeq = withSeq;
+exports.firstSeqOf = firstSeqOf;
+exports.takeInSequence = takeInSequence;
 exports.producedInstance = producedInstance;
+/*
+ * 웹훅의 규약 — 상태 코드 · 비밀값 · 어느 트윈인가.
+ *
+ * 데이터베이스를 부르는 부분과 갈라 둔다(§`reference-hook`): 규약만 있는 자리라야 시험이 엔티티를
+ * 끌고 오지 않는다. 실제로 그것 때문에 시험이 서지 않았다.
+ *
+ * ── 왜 필요한가 ─────────────────────────────────────────────────────────────
+ * 지금 모든 커넥터가 주기적으로 물어봅니다(폴링). 그 방식은 두 가지를 치릅니다. 연결된 시스템이 값을
+ * 갱신하는 주기보다 자주 물으면 같은 값을 되풀이 받고, 그쪽 서버에 그만큼 부담을 줍니다. 실제로
+ * 태양광 발전소에 10초마다 물으면서 10분마다 바뀌는 값을 받아 왔습니다.
+ *
+ * 연결된 시스템이 「바뀌었다」를 말해 줄 수 있으면 그것을 받는 것이 낫습니다. 이 파일이 그 입구입니다.
+ *
+ * ── 규약 ────────────────────────────────────────────────────────────────────
+ *
+ *   주소     POST /domain/<도메인>/twin/hook/<연결이름>/<트윈>
+ *   인증     연결 설정에 저장한 비밀값(`hookSecret`)을 헤더로 보낸다
+ *            X-Twin-Hook-Secret: <비밀값>   또는   Authorization: Bearer <비밀값>
+ *   본문     연결된 시스템이 정한 모양 그대로. 우리 어휘로 옮기는 것은 커넥터의 일이다
+ *   응답     아래 §`hookStatus`
+ *
+ * ── 왜 사람 인증(JWT)이 아닌가 ──────────────────────────────────────────────
+ * 밀어 주는 쪽은 사람이 아닙니다. 우리 토큰을 발급받아 갱신하며 관리하라고 요구하면 대부분의 현장에서
+ * 연동이 서지 않습니다. 그래서 연결마다 비밀값을 두고 그것으로 확인합니다.
+ *
+ * **비밀값이 없는 연결은 훅을 받지 않습니다.** 기본이 거부입니다 — 인증 없는 입구를 열어 두는 것보다
+ * 훅을 못 쓰는 것이 낫습니다.
+ *
+ * ── 왜 커넥터가 옮기나 (시나리오가 아니라) ──────────────────────────────────
+ * 연결된 시스템의 웹훅은 그쪽이 정한 고정된 모양으로 옵니다. 그 모양을 아는 것은 그 커넥터이고,
+ * 옮기는 판단은 코드여야 테스트로 지킬 수 있습니다. 실제로 지금 커넥터들이 코드로 판단합니다 —
+ * 통신이 끊긴 설비의 값은 보내지 않고, 잰 시각이 나아가지 않은 줄은 거릅니다. 그 판단을 변환식으로
+ * 옮기면 약해지고 테스트가 없어집니다.
+ *
+ * ── 밀어 주기만으로는 안 된다 ───────────────────────────────────────────────
+ * 훅은 반드시 놓칩니다 — 우리가 내려가 있을 때, 그쪽이 못 보냈을 때, 네트워크가 끊겼을 때. 그래서
+ * 훅을 쓰는 연결도 **드문 폴링을 유지합니다.** 폴링의 역할이 「값을 가져오는 것」에서 「놓친 것이 있나
+ * 확인하는 것」으로 바뀌는 것입니다. 그 주기는 연결 설정이 정합니다.
+ *
+ * ── 같은 것이 두 번 오는 것 ─────────────────────────────────────────────────
+ * 밀어 주는 방식은 재전송이 정상입니다(그쪽이 우리 응답을 못 받으면 다시 보냅니다). 그것은 유입
+ * 경계가 이미 거릅니다(§`FactDeduper`) — 이 파일이 따로 하지 않습니다. 응답에 몇 건이 중복이었는지
+ * 함께 알립니다.
+ */
+/*
+ * `WebhookResponse` comes from the root, not from `@operato/ops-contract/webhook`.
+ *
+ * That subpath resolves to `webhook-signature`, which is a separate module kept out of the barrel
+ * because it pulls in `node:crypto`. The module actually named `webhook.ts` — status codes, the
+ * envelope, the response — reaches consumers through the root barrel. Importing the response type
+ * from the subpath fails with TS2305, which is what happened here first.
+ */
+const ops_contract_1 = require("@operato/ops-contract");
+const webhook_1 = require("@operato/ops-contract/webhook");
 /**
- * 응답 코드 규약 — **재시도로 해결되는 것과 그렇지 않은 것을 가른다.**
- *
- * 밀어 주는 쪽은 응답 코드로 재시도를 정합니다. 그래서 우리가 코드를 아무렇게나 주면 두 가지가
- * 일어납니다: 고칠 수 없는 것을 영원히 다시 보내거나, 잠깐의 문제로 사라진 사실을 아무도 모릅니다.
- *
- *   200  받아서 반영했다
- *   401  비밀값이 다르다                    재시도해도 같다
- *   404  모르는 연결이거나 모르는 트윈       재시도해도 같다
- *   400  본문을 우리 레코드로 옮길 수 없다   재시도해도 같다(그쪽 모양이 바뀐 것이다)
- *   409  그 트윈이 지금 실시간으로 돌지 않는다  사람이 트윈을 띄워야 한다
- *   501  그 커넥터가 훅을 받을 줄 모른다      코드가 없다
- *   500  우리 쪽 오류                        재시도하면 될 수 있다
- */
-exports.HOOK_STATUS = {
-    ok: 200,
-    badSecret: 401,
-    unknownTarget: 404,
-    badPayload: 400,
-    notLive: 409,
-    unsupported: 501,
-    failed: 500
-};
+ * 응답 코드 규약 — **계약이 정하고 여기서는 그것을 쓴다**(2026-08-31).
+ *
+ * 예전에는 이 표가 여기 있었고 보내는 쪽(operato-plant)에 또 있었다. 그래서 같은 409 를 양쪽이 다른
+ * 뜻으로 썼다 — 여기서는 「그 트윈이 실시간으로 돌지 않는다」, 저쪽에서는 「번호가 비었다」였다.
+ * 붙였다면 트윈이 안 도는 동안 보내는 쪽이 같은 구간을 계속 다시 보냈다.
+ *
+ * 판정표는 만드는 쪽과 읽는 쪽이 합의해야 하는 것이라 계약 층에 있다(`@operato/ops-contract`).
+ * `notLive` 가 409 에서 503 으로 옮겨진 이유도 그 파일에 적혀 있다.
+ *
+ * **여기서 이름을 바꿔 다시 내보내지 않는다.** 부르는 쪽은 `WEBHOOK_STATUS` 를 계약에서 바로 가져온다.
+ * 별명을 두면 같은 표에 이름이 둘이 되고, 다음 사람이 어느 쪽이 정본인지 물어야 한다.
+ */
 /** 헤더에서 비밀값을 꺼낸다 — 두 가지 방식을 받는다(밀어 주는 쪽의 관습이 갈린다). */
 function secretFromHeaders(headers) {
     const pick = (k) => String((headers ?? {})[k] ?? '').trim();
@@ -50,6 +99,170 @@ function secretMatches(given, expected) {
         diff |= given.charCodeAt(i) ^ expected.charCodeAt(i);
     return diff === 0;
 }
+/**
+ * 인증 — **서명이 왔으면 서명을 보고, 아니면 비밀값을 본다.**
+ *
+ * 두 방식을 두는 이유는 밀어 주는 쪽의 사정이 다르기 때문이다. 이미 붙어 있는 커넥터는 비밀값을 헤더에
+ * 싣는 방식으로 만들어졌고, 새로 만드는 것(operato-plant)은 서명을 쓴다. 서명 쪽이 낫다 — 비밀값을 그대로
+ * 싣는 방식은 그 요청을 그대로 다시 보내는 것을 막지 못한다.
+ *
+ * **서명이 왔는데 확인할 수 없으면 거절한다.** 받은 바이트를 들고 있지 않으면(`rawBody` 가 없으면)
+ * 파싱한 객체를 다시 문자열로 만들어 확인하고 싶어지는데, 키 순서와 공백이 달라져 어차피 맞지 않는다.
+ * 맞지 않는 것을 통과시키면 서명이 있으나 마나 한 것이 된다.
+ */
+function authorizeHook(args) {
+    const { headers, rawBody, secret, nowMs } = args;
+    const pick = (k) => String((headers ?? {})[k] ?? '').trim();
+    const signature = pick(webhook_1.WEBHOOK_HEADER.signature);
+    if (signature) {
+        if (rawBody === undefined) {
+            return { ok: false, reason: 'signed request but the raw body was not kept — cannot verify' };
+        }
+        const verdict = (0, webhook_1.verifyWebhookSignature)({
+            secret,
+            timestamp: pick(webhook_1.WEBHOOK_HEADER.timestamp),
+            signature,
+            body: rawBody,
+            nowMs
+        });
+        /* `=== false` 로 본다 — 이 저장소는 `strictNullChecks` 가 꺼져 있어 참·거짓만으로는 좁혀지지 않는다. */
+        if (verdict.ok === false)
+            return { ok: false, reason: `signature ${verdict.reason}` };
+        return { ok: true, method: 'signature' };
+    }
+    return secretMatches(secretFromHeaders(headers), secret)
+        ? { ok: true, method: 'secret' }
+        : { ok: false, reason: 'hook secret does not match' };
+}
+/**
+ * 커서에 적을 열쇠 — **트윈까지 넣는다.**
+ *
+ * ── 왜 (2026-08-31, MES 레인 질문에서 나옴) ───────────────────────────────
+ * 커서는 **연결마다** 한 행(`TwinReference.liveCursor`)에 산다. 그런데 연결 하나가 트윈 여럿을
+ * 만든다(`scopeSpec.produced` 가 목록이다). 보내는 쪽의 단위 이름만으로 열쇠를 잡으면, 같은 연결의
+ * 두 공장이 같은 이름(`EVENTS`)을 쓸 때 **한 계수기를 함께 쓴다.**
+ *
+ * 그러면 A 공장이 5까지 올린 뒤 B 공장이 1을 보내면 이미 본 번호가 되어 버려지고, A 가 6을 보내면
+ * B 의 번호와 어긋나 끊임없이 「빠졌다」가 된다. 같은 부류가 이 저장소에서 이미 났다 — 두 공장의
+ * 같은 번호가 한 자리에 겹쳤다.
+ *
+ * 보내는 쪽에 트윈 이름을 넣으라고 하지 않는다. 어디로 갈지는 주소가 이미 말했고, 그것을 본문에도
+ * 적으라고 하면 둘이 어긋나는 날 어느 쪽을 믿을지 정해야 한다.
+ */
+function pushCursorKey(instanceId, scope) {
+    return `${instanceId}::${scope}`;
+}
+/**
+ * 커서에서 그 단위의 마지막 번호를 꺼낸다.
+ *
+ * 커서 모양은 `{ streams: { [흐름]: { since?, seen[], seq? } } }` 이고 **흐름 이름은 어댑터가 정한다**
+ * (§`TwinReference.liveCursor`). 밀어 주는 연결에서는 그 이름이 곧 번호를 매기는 단위다.
+ *
+ * 자리를 따로 만들지 않는 이유는 「재기동을 넘어 사는 진행 위치」가 두 벌이 되기 때문이다. 폴링이 쓰는
+ * `since` 와 밀어 주기가 쓰는 `seq` 는 둘 다 「이 흐름을 어디까지 읽었나」이고 원본이 되풀어 줄 수 있다.
+ */
+function seqOf(cursor, scope) {
+    const streams = cursor?.streams;
+    const seq = streams?.[scope]?.seq;
+    return typeof seq === 'number' && Number.isInteger(seq) ? seq : undefined;
+}
+/** 그 단위의 번호만 바꾼 커서를 만든다 — 다른 흐름과 `since`·`seen` 은 그대로 둔다. */
+function withSeq(cursor, scope, seq, firstSeq) {
+    const base = (cursor && typeof cursor === 'object' ? cursor : {});
+    const streams = base.streams && typeof base.streams === 'object' ? { ...base.streams } : {};
+    const prev = streams[scope] ?? {};
+    /*
+     * **`firstSeq` 는 한 번만 적힌다.** 이 연결이 이 단위를 몇 번부터 받기 시작했는지는 바뀌지 않는
+     * 사실이고, 나중에 덮으면 「앞이 비었나」를 다시 물을 수 없다.
+     *
+     * 그래서 첫 봉투 판정이 있을 때만 넘어온다(`SequencedTake.firstSeq`). 커서가 이미 나아간 뒤에
+     * 이 값을 만들면 그 번호는 첫 번호가 아니라 그때 마침 온 번호다.
+     */
+    streams[scope] = { ...prev, seq, ...(firstSeq !== undefined && prev.firstSeq === undefined ? { firstSeq } : {}) };
+    return { ...base, streams };
+}
+/**
+ * 이 연결이 이 단위를 **몇 번부터 받기 시작했나** — 적힌 적이 없으면 `undefined`.
+ *
+ * 「앞이 비었나」를 답하려면 이 값이 있어야 한다. 없으면 **모른다고 말해야 한다** — 0 으로 답하면
+ * 1번부터 다 받은 것으로 읽힌다.
+ */
+function firstSeqOf(cursor, scope) {
+    const seq = cursor?.streams?.[scope]?.firstSeq;
+    return typeof seq === 'number' && Number.isInteger(seq) ? seq : undefined;
+}
+function takeInSequence(args) {
+    const { items, scope, lastSeq } = args;
+    const withSeq = items.filter(i => typeof i?.seq === 'number').length;
+    if (withSeq && withSeq !== items.length) {
+        return { records: [], numbered: false, refused: `mixed batch — ${withSeq} of ${items.length} items carry a sequence number` };
+    }
+    const numbered = withSeq > 0 && !!scope;
+    if (!numbered)
+        return { records: items.map(i => i.record), numbered: false };
+    let cursor = lastSeq;
+    let take = 0;
+    let gap;
+    /* 첫 봉투가 몇 번부터 시작했나 — 그 앞을 못 본 사실을 응답에 남긴다. */
+    let firstUnseenBefore;
+    /* 이 단위를 몇 번부터 받기 시작했나 — 커서에 적어 두면 「앞이 비었나」를 나중에 답할 수 있다. */
+    let firstSeq;
+    /* 이 묶음에서 가장 낮게 받아들인 번호 — 밑에서부터 다시 받을 때 이것이 firstSeq 가 된다. */
+    let lowestSeq;
+    for (const item of items) {
+        let verdict;
+        try {
+            verdict = (0, ops_contract_1.checkSequence)(cursor, item.seq);
+        }
+        catch (e) {
+            return { records: [], numbered: true, refused: e?.message ?? 'bad sequence number' };
+        }
+        if (verdict.kind === 'gap') {
+            gap = { expectedSeq: verdict.expectedSeq, lastSeq: verdict.lastSeq };
+            break;
+        }
+        if (verdict.kind === 'first') {
+            firstSeq = item.seq;
+            /*
+             * 계약이 `unseenBefore` 를 내면 그것을 쓴다. 설치된 판이 그보다 오래됐으면 번호에서 센다 —
+             * 첫 봉투의 번호 아래로 그만큼이 있고 우리는 그것을 받은 적이 없다.
+             *
+             * ⚠ 이 두 번째 길은 계약 0.9.9 가 깔리면 지운다. 그때까지 두는 이유는, 계약을 기다리며
+             * 비워 두면 **코드는 있는데 아무 일도 안 하는 상태**가 되고 그것이 이 결함의 원인과 같은
+             * 모양이기 때문이다.
+             */
+            const unseen = verdict.unseenBefore ?? item.seq - 1;
+            if (unseen > 0)
+                firstUnseenBefore = unseen;
+        }
+        if (lowestSeq === undefined)
+            lowestSeq = item.seq;
+        cursor = verdict.lastSeq;
+        take++;
+    }
+    return {
+        /*
+         * **봉투의 시각을 레코드에 얹는다** — 레코드가 자기 시각을 말하면 그것이 이긴다.
+         *
+         * 시각을 안 싣는 레코드는 ingest 시각으로 떨어지고, 그 값이 실행할 때마다 달라서 fact identity 가
+         * 매번 바뀐다. 그래서 같은 사실을 다시 받으면 dedupe 가 안 되고 새 사실로 앉는다 —
+         * `fillTwinScope` 를 두 번 돌렸더니 저널이 40 → 69건이 됐다(2026-09-06 측정).
+         */
+        records: items.slice(0, take).map(i => {
+            const r = i.record;
+            if (!i.at || r == null || typeof r !== 'object')
+                return i.record;
+            return r.at === undefined && r.eventTime === undefined ? { ...r, at: i.at } : i.record;
+        }),
+        numbered: true,
+        /* 앞의 것을 하나도 못 받았으면 커서를 올릴 것이 없다. */
+        ...(take > 0 && typeof cursor === 'number' ? { advancedSeq: cursor } : {}),
+        ...(gap ? { gap } : {}),
+        ...(firstUnseenBefore ? { firstUnseenBefore } : {}),
+        ...(firstSeq !== undefined ? { firstSeq } : {}),
+        ...(lowestSeq !== undefined ? { lowestSeq } : {})
+    };
+}
 /** 이 연결이 이 트윈을 만들었나 — 남의 트윈에 밀어 넣지 못하게. */
 function producedInstance(ref, instanceId) {
     const produced = ref?.scopeSpec?.produced ?? [];

package/dist-server/service/reference/hook-contract.js.map

@@ -1 +1 @@
-{"version":3,"file":"hook-contract.js","sourceRoot":"","sources":["../../../server/service/reference/hook-contract.ts"],"names":[],"mappings":";;;AA2EA,8CAMC;AAQD,sCAKC;AAGD,4CAIC;AAnDD;;;;;;;;;;;;;GAaG;AACU,QAAA,WAAW,GAAG;IACzB,EAAE,EAAE,GAAG;IACP,SAAS,EAAE,GAAG;IACd,aAAa,EAAE,GAAG;IAClB,UAAU,EAAE,GAAG;IACf,OAAO,EAAE,GAAG;IACZ,WAAW,EAAE,GAAG;IAChB,MAAM,EAAE,GAAG;CACH,CAAA;AAEV,sDAAsD;AACtD,SAAgB,iBAAiB,CAAC,OAA4C;IAC5E,MAAM,IAAI,GAAG,CAAC,CAAS,EAAE,EAAE,CAAC,MAAM,CAAC,CAAC,OAAO,IAAI,EAAE,CAAC,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC,CAAC,IAAI,EAAE,CAAA;IACnE,MAAM,MAAM,GAAG,IAAI,CAAC,oBAAoB,CAAC,CAAA;IACzC,IAAI,MAAM;QAAE,OAAO,MAAM,CAAA;IACzB,MAAM,IAAI,GAAG,IAAI,CAAC,eAAe,CAAC,CAAA;IAClC,OAAO,IAAI,CAAC,WAAW,EAAE,CAAC,UAAU,CAAC,SAAS,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC,EAAE,CAAA;AAC7E,CAAC;AAED;;;;;GAKG;AACH,SAAgB,aAAa,CAAC,KAAa,EAAE,QAAgB;IAC3D,IAAI,CAAC,QAAQ,IAAI,CAAC,KAAK,IAAI,KAAK,CAAC,MAAM,KAAK,QAAQ,CAAC,MAAM;QAAE,OAAO,KAAK,CAAA;IACzE,IAAI,IAAI,GAAG,CAAC,CAAA;IACZ,KAAK,IAAI,CAAC,GAAG,CAAC,EAAE,CAAC,GAAG,QAAQ,CAAC,MAAM,EAAE,CAAC,EAAE;QAAE,IAAI,IAAI,KAAK,CAAC,UAAU,CAAC,CAAC,CAAC,GAAG,QAAQ,CAAC,UAAU,CAAC,CAAC,CAAC,CAAA;IAC9F,OAAO,IAAI,KAAK,CAAC,CAAA;AACnB,CAAC;AAED,2CAA2C;AAC3C,SAAgB,gBAAgB,CAAC,GAA2C,EAAE,UAAkB;IAC9F,MAAM,QAAQ,GAAW,GAAG,EAAE,SAAiB,EAAE,QAAQ,IAAI,EAAE,CAAA;IAC/D,MAAM,GAAG,GAAG,QAAQ,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,MAAM,CAAC,CAAC,EAAE,UAAU,IAAI,EAAE,CAAC,KAAK,UAAU,CAAC,CAAA;IAC1E,OAAO,GAAG,EAAE,MAAM,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,MAAM,CAAC,GAAG,CAAC,MAAM,CAAC,EAAE,CAAC,CAAC,CAAC,SAAS,CAAA;AACjE,CAAC","sourcesContent":["/*\n * 웹훅의 규약 — 상태 코드 · 비밀값 · 어느 트윈인가.\n *\n * 데이터베이스를 부르는 부분과 갈라 둔다(§`reference-hook`): 규약만 있는 자리라야 시험이 엔티티를\n * 끌고 오지 않는다. 실제로 그것 때문에 시험이 서지 않았다.\n *\n * ── 왜 필요한가 ─────────────────────────────────────────────────────────────\n * 지금 모든 커넥터가 주기적으로 물어봅니다(폴링). 그 방식은 두 가지를 치릅니다. 연결된 시스템이 값을\n * 갱신하는 주기보다 자주 물으면 같은 값을 되풀이 받고, 그쪽 서버에 그만큼 부담을 줍니다. 실제로\n * 태양광 발전소에 10초마다 물으면서 10분마다 바뀌는 값을 받아 왔습니다.\n *\n * 연결된 시스템이 「바뀌었다」를 말해 줄 수 있으면 그것을 받는 것이 낫습니다. 이 파일이 그 입구입니다.\n *\n * ── 규약 ────────────────────────────────────────────────────────────────────\n *\n *   주소     POST /domain/<도메인>/twin/hook/<연결이름>/<트윈>\n *   인증     연결 설정에 저장한 비밀값(`hookSecret`)을 헤더로 보낸다\n *            X-Twin-Hook-Secret: <비밀값>   또는   Authorization: Bearer <비밀값>\n *   본문     연결된 시스템이 정한 모양 그대로. 우리 어휘로 옮기는 것은 커넥터의 일이다\n *   응답     아래 §`hookStatus`\n *\n * ── 왜 사람 인증(JWT)이 아닌가 ──────────────────────────────────────────────\n * 밀어 주는 쪽은 사람이 아닙니다. 우리 토큰을 발급받아 갱신하며 관리하라고 요구하면 대부분의 현장에서\n * 연동이 서지 않습니다. 그래서 연결마다 비밀값을 두고 그것으로 확인합니다.\n *\n * **비밀값이 없는 연결은 훅을 받지 않습니다.** 기본이 거부입니다 — 인증 없는 입구를 열어 두는 것보다\n * 훅을 못 쓰는 것이 낫습니다.\n *\n * ── 왜 커넥터가 옮기나 (시나리오가 아니라) ──────────────────────────────────\n * 연결된 시스템의 웹훅은 그쪽이 정한 고정된 모양으로 옵니다. 그 모양을 아는 것은 그 커넥터이고,\n * 옮기는 판단은 코드여야 테스트로 지킬 수 있습니다. 실제로 지금 커넥터들이 코드로 판단합니다 —\n * 통신이 끊긴 설비의 값은 보내지 않고, 잰 시각이 나아가지 않은 줄은 거릅니다. 그 판단을 변환식으로\n * 옮기면 약해지고 테스트가 없어집니다.\n *\n * ── 밀어 주기만으로는 안 된다 ───────────────────────────────────────────────\n * 훅은 반드시 놓칩니다 — 우리가 내려가 있을 때, 그쪽이 못 보냈을 때, 네트워크가 끊겼을 때. 그래서\n * 훅을 쓰는 연결도 **드문 폴링을 유지합니다.** 폴링의 역할이 「값을 가져오는 것」에서 「놓친 것이 있나\n * 확인하는 것」으로 바뀌는 것입니다. 그 주기는 연결 설정이 정합니다.\n *\n * ── 같은 것이 두 번 오는 것 ─────────────────────────────────────────────────\n * 밀어 주는 방식은 재전송이 정상입니다(그쪽이 우리 응답을 못 받으면 다시 보냅니다). 그것은 유입\n * 경계가 이미 거릅니다(§`FactDeduper`) — 이 파일이 따로 하지 않습니다. 응답에 몇 건이 중복이었는지\n * 함께 알립니다.\n */\n/** 훅 요청의 결과 — 상태 코드와 본문을 함께 정한다(부르는 쪽이 그대로 답한다). */\nexport interface HookOutcome {\n  status: number\n  body: Record<string, unknown>\n}\n\n/**\n * 응답 코드 규약 — **재시도로 해결되는 것과 그렇지 않은 것을 가른다.**\n *\n * 밀어 주는 쪽은 응답 코드로 재시도를 정합니다. 그래서 우리가 코드를 아무렇게나 주면 두 가지가\n * 일어납니다: 고칠 수 없는 것을 영원히 다시 보내거나, 잠깐의 문제로 사라진 사실을 아무도 모릅니다.\n *\n *   200  받아서 반영했다\n *   401  비밀값이 다르다                    재시도해도 같다\n *   404  모르는 연결이거나 모르는 트윈       재시도해도 같다\n *   400  본문을 우리 레코드로 옮길 수 없다   재시도해도 같다(그쪽 모양이 바뀐 것이다)\n *   409  그 트윈이 지금 실시간으로 돌지 않는다  사람이 트윈을 띄워야 한다\n *   501  그 커넥터가 훅을 받을 줄 모른다      코드가 없다\n *   500  우리 쪽 오류                        재시도하면 될 수 있다\n */\nexport const HOOK_STATUS = {\n  ok: 200,\n  badSecret: 401,\n  unknownTarget: 404,\n  badPayload: 400,\n  notLive: 409,\n  unsupported: 501,\n  failed: 500\n} as const\n\n/** 헤더에서 비밀값을 꺼낸다 — 두 가지 방식을 받는다(밀어 주는 쪽의 관습이 갈린다). */\nexport function secretFromHeaders(headers: Record<string, unknown> | undefined): string {\n  const pick = (k: string) => String((headers ?? {})[k] ?? '').trim()\n  const direct = pick('x-twin-hook-secret')\n  if (direct) return direct\n  const auth = pick('authorization')\n  return auth.toLowerCase().startsWith('bearer ') ? auth.slice(7).trim() : ''\n}\n\n/**\n * 비밀값 비교 — **길이가 다르면 바로 거절하고, 같으면 끝까지 비교한다.**\n *\n * 앞에서 다른 것을 발견하고 곧바로 답하면 응답 시간이 달라지고, 그 차이로 비밀값을 한 글자씩 알아낼 수\n * 있습니다. 그래서 같은 길이면 전부를 비교합니다.\n */\nexport function secretMatches(given: string, expected: string): boolean {\n  if (!expected || !given || given.length !== expected.length) return false\n  let diff = 0\n  for (let i = 0; i < expected.length; i++) diff |= given.charCodeAt(i) ^ expected.charCodeAt(i)\n  return diff === 0\n}\n\n/** 이 연결이 이 트윈을 만들었나 — 남의 트윈에 밀어 넣지 못하게. */\nexport function producedInstance(ref: { scopeSpec?: any } | null | undefined, instanceId: string): { siteId: string } | undefined {\n  const produced: any[] = (ref?.scopeSpec as any)?.produced ?? []\n  const hit = produced.find(p => String(p?.instanceId ?? '') === instanceId)\n  return hit?.siteId ? { siteId: String(hit.siteId) } : undefined\n}\n\n"]}
+{"version":3,"file":"hook-contract.js","sourceRoot":"","sources":["../../../server/service/reference/hook-contract.ts"],"names":[],"mappings":";;AAuFA,8CAMC;AAQD,sCAKC;AAaD,sCA+BC;AAiBD,sCAEC;AAWD,sBAIC;AAGD,0BAaC;AAQD,gCAGC;AAkED,wCA2EC;AAGD,4CAIC;AAvWD;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GA2CG;AACH;;;;;;;GAOG;AACH,wDAA2E;AAC3E,2DAAsF;AAmBtF;;;;;;;;;;;;GAYG;AAEH,sDAAsD;AACtD,SAAgB,iBAAiB,CAAC,OAA4C;IAC5E,MAAM,IAAI,GAAG,CAAC,CAAS,EAAE,EAAE,CAAC,MAAM,CAAC,CAAC,OAAO,IAAI,EAAE,CAAC,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC,CAAC,IAAI,EAAE,CAAA;IACnE,MAAM,MAAM,GAAG,IAAI,CAAC,oBAAoB,CAAC,CAAA;IACzC,IAAI,MAAM;QAAE,OAAO,MAAM,CAAA;IACzB,MAAM,IAAI,GAAG,IAAI,CAAC,eAAe,CAAC,CAAA;IAClC,OAAO,IAAI,CAAC,WAAW,EAAE,CAAC,UAAU,CAAC,SAAS,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC,EAAE,CAAA;AAC7E,CAAC;AAED;;;;;GAKG;AACH,SAAgB,aAAa,CAAC,KAAa,EAAE,QAAgB;IAC3D,IAAI,CAAC,QAAQ,IAAI,CAAC,KAAK,IAAI,KAAK,CAAC,MAAM,KAAK,QAAQ,CAAC,MAAM;QAAE,OAAO,KAAK,CAAA;IACzE,IAAI,IAAI,GAAG,CAAC,CAAA;IACZ,KAAK,IAAI,CAAC,GAAG,CAAC,EAAE,CAAC,GAAG,QAAQ,CAAC,MAAM,EAAE,CAAC,EAAE;QAAE,IAAI,IAAI,KAAK,CAAC,UAAU,CAAC,CAAC,CAAC,GAAG,QAAQ,CAAC,UAAU,CAAC,CAAC,CAAC,CAAA;IAC9F,OAAO,IAAI,KAAK,CAAC,CAAA;AACnB,CAAC;AAED;;;;;;;;;;GAUG;AACH,SAAgB,aAAa,CAAC,IAO7B;IACC,MAAM,EAAE,OAAO,EAAE,OAAO,EAAE,MAAM,EAAE,KAAK,EAAE,GAAG,IAAI,CAAA;IAChD,MAAM,IAAI,GAAG,CAAC,CAAS,EAAE,EAAE,CAAC,MAAM,CAAC,CAAC,OAAO,IAAI,EAAE,CAAC,CAAC,CAAC,CAAC,IAAI,EAAE,CAAC,CAAC,IAAI,EAAE,CAAA;IACnE,MAAM,SAAS,GAAG,IAAI,CAAC,wBAAc,CAAC,SAAS,CAAC,CAAA;IAEhD,IAAI,SAAS,EAAE,CAAC;QACd,IAAI,OAAO,KAAK,SAAS,EAAE,CAAC;YAC1B,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,8DAA8D,EAAE,CAAA;QAC9F,CAAC;QACD,MAAM,OAAO,GAAG,IAAA,gCAAsB,EAAC;YACrC,MAAM;YACN,SAAS,EAAE,IAAI,CAAC,wBAAc,CAAC,SAAS,CAAC;YACzC,SAAS;YACT,IAAI,EAAE,OAAO;YACb,KAAK;SACN,CAAC,CAAA;QACF,6EAA6E;QAC7E,IAAI,OAAO,CAAC,EAAE,KAAK,KAAK;YAAE,OAAO,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,aAAa,OAAO,CAAC,MAAM,EAAE,EAAE,CAAA;QACrF,OAAO,EAAE,EAAE,EAAE,IAAI,EAAE,MAAM,EAAE,WAAW,EAAE,CAAA;IAC1C,CAAC;IAED,OAAO,aAAa,CAAC,iBAAiB,CAAC,OAAO,CAAC,EAAE,MAAM,CAAC;QACtD,CAAC,CAAC,EAAE,EAAE,EAAE,IAAI,EAAE,MAAM,EAAE,QAAQ,EAAE;QAChC,CAAC,CAAC,EAAE,EAAE,EAAE,KAAK,EAAE,MAAM,EAAE,4BAA4B,EAAE,CAAA;AACzD,CAAC;AAED;;;;;;;;;;;;;;GAcG;AACH,SAAgB,aAAa,CAAC,UAAkB,EAAE,KAAa;IAC7D,OAAO,GAAG,UAAU,KAAK,KAAK,EAAE,CAAA;AAClC,CAAC;AAED;;;;;;;;GAQG;AACH,SAAgB,KAAK,CAAC,MAAe,EAAE,KAAa;IAClD,MAAM,OAAO,GAAI,MAAc,EAAE,OAAO,CAAA;IACxC,MAAM,GAAG,GAAG,OAAO,EAAE,CAAC,KAAK,CAAC,EAAE,GAAG,CAAA;IACjC,OAAO,OAAO,GAAG,KAAK,QAAQ,IAAI,MAAM,CAAC,SAAS,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,SAAS,CAAA;AAC3E,CAAC;AAED,6DAA6D;AAC7D,SAAgB,OAAO,CAAC,MAAe,EAAE,KAAa,EAAE,GAAW,EAAE,QAAiB;IACpF,MAAM,IAAI,GAAG,CAAC,MAAM,IAAI,OAAO,MAAM,KAAK,QAAQ,CAAC,CAAC,CAAE,MAAkC,CAAC,CAAC,CAAC,EAAE,CAAwB,CAAA;IACrH,MAAM,OAAO,GAAG,IAAI,CAAC,OAAO,IAAI,OAAO,IAAI,CAAC,OAAO,KAAK,QAAQ,CAAC,CAAC,CAAC,EAAE,GAAG,IAAI,CAAC,OAAO,EAAE,CAAC,CAAC,CAAC,EAAE,CAAA;IAC3F,MAAM,IAAI,GAAG,OAAO,CAAC,KAAK,CAAC,IAAI,EAAE,CAAA;IACjC;;;;;;OAMG;IACH,OAAO,CAAC,KAAK,CAAC,GAAG,EAAE,GAAG,IAAI,EAAE,GAAG,EAAE,GAAG,CAAC,QAAQ,KAAK,SAAS,IAAI,IAAI,CAAC,QAAQ,KAAK,SAAS,CAAC,CAAC,CAAC,EAAE,QAAQ,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC,EAAE,CAAA;IACjH,OAAO,EAAE,GAAG,IAAI,EAAE,OAAO,EAAE,CAAA;AAC7B,CAAC;AAED;;;;;GAKG;AACH,SAAgB,UAAU,CAAC,MAAe,EAAE,KAAa;IACvD,MAAM,GAAG,GAAI,MAAc,EAAE,OAAO,EAAE,CAAC,KAAK,CAAC,EAAE,QAAQ,CAAA;IACvD,OAAO,OAAO,GAAG,KAAK,QAAQ,IAAI,MAAM,CAAC,SAAS,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,SAAS,CAAA;AAC3E,CAAC;AAkED,SAAgB,cAAc,CAAC,IAK9B;IACC,MAAM,EAAE,KAAK,EAAE,KAAK,EAAE,OAAO,EAAE,GAAG,IAAI,CAAA;IAEtC,MAAM,OAAO,GAAG,KAAK,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,CAAC,OAAO,CAAC,EAAE,GAAG,KAAK,QAAQ,CAAC,CAAC,MAAM,CAAA;IACpE,IAAI,OAAO,IAAI,OAAO,KAAK,KAAK,CAAC,MAAM,EAAE,CAAC;QACxC,OAAO,EAAE,OAAO,EAAE,EAAE,EAAE,QAAQ,EAAE,KAAK,EAAE,OAAO,EAAE,iBAAiB,OAAO,OAAO,KAAK,CAAC,MAAM,gCAAgC,EAAE,CAAA;IAC/H,CAAC;IACD,MAAM,QAAQ,GAAG,OAAO,GAAG,CAAC,IAAI,CAAC,CAAC,KAAK,CAAA;IAEvC,IAAI,CAAC,QAAQ;QAAE,OAAO,EAAE,OAAO,EAAE,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC,MAAM,CAAC,EAAE,QAAQ,EAAE,KAAK,EAAE,CAAA;IAE5E,IAAI,MAAM,GAAG,OAAO,CAAA;IACpB,IAAI,IAAI,GAAG,CAAC,CAAA;IACZ,IAAI,GAAyD,CAAA;IAC7D,8CAA8C;IAC9C,IAAI,iBAAqC,CAAA;IACzC,4DAA4D;IAC5D,IAAI,QAA4B,CAAA;IAChC,6DAA6D;IAC7D,IAAI,SAA6B,CAAA;IACjC,KAAK,MAAM,IAAI,IAAI,KAAK,EAAE,CAAC;QACzB,IAAI,OAAO,CAAA;QACX,IAAI,CAAC;YACH,OAAO,GAAG,IAAA,4BAAa,EAAC,MAAM,EAAE,IAAI,CAAC,GAAa,CAAC,CAAA;QACrD,CAAC;QAAC,OAAO,CAAM,EAAE,CAAC;YAChB,OAAO,EAAE,OAAO,EAAE,EAAE,EAAE,QAAQ,EAAE,IAAI,EAAE,OAAO,EAAE,CAAC,EAAE,OAAO,IAAI,qBAAqB,EAAE,CAAA;QACtF,CAAC;QACD,IAAI,OAAO,CAAC,IAAI,KAAK,KAAK,EAAE,CAAC;YAC3B,GAAG,GAAG,EAAE,WAAW,EAAE,OAAO,CAAC,WAAW,EAAE,OAAO,EAAE,OAAO,CAAC,OAAO,EAAE,CAAA;YACpE,MAAK;QACP,CAAC;QACD,IAAI,OAAO,CAAC,IAAI,KAAK,OAAO,EAAE,CAAC;YAC7B,QAAQ,GAAG,IAAI,CAAC,GAAa,CAAA;YAC7B;;;;;;;eAOG;YACH,MAAM,MAAM,GAAI,OAAe,CAAC,YAAY,IAAK,IAAI,CAAC,GAAc,GAAG,CAAC,CAAA;YACxE,IAAI,MAAM,GAAG,CAAC;gBAAE,iBAAiB,GAAG,MAAM,CAAA;QAC5C,CAAC;QACD,IAAI,SAAS,KAAK,SAAS;YAAE,SAAS,GAAG,IAAI,CAAC,GAAa,CAAA;QAC3D,MAAM,GAAG,OAAO,CAAC,OAAO,CAAA;QACxB,IAAI,EAAE,CAAA;IACR,CAAC;IAED,OAAO;QACL;;;;;;WAMG;QACH,OAAO,EAAE,KAAK,CAAC,KAAK,CAAC,CAAC,EAAE,IAAI,CAAC,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE;YACpC,MAAM,CAAC,GAAG,CAAC,CAAC,MAAa,CAAA;YACzB,IAAI,CAAC,CAAC,CAAC,EAAE,IAAI,CAAC,IAAI,IAAI,IAAI,OAAO,CAAC,KAAK,QAAQ;gBAAE,OAAO,CAAC,CAAC,MAAM,CAAA;YAChE,OAAO,CAAC,CAAC,EAAE,KAAK,SAAS,IAAI,CAAC,CAAC,SAAS,KAAK,SAAS,CAAC,CAAC,CAAC,EAAE,GAAG,CAAC,EAAE,EAAE,EAAE,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC,MAAM,CAAA;QACxF,CAAC,CAAC;QACF,QAAQ,EAAE,IAAI;QACd,oCAAoC;QACpC,GAAG,CAAC,IAAI,GAAG,CAAC,IAAI,OAAO,MAAM,KAAK,QAAQ,CAAC,CAAC,CAAC,EAAE,WAAW,EAAE,MAAM,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QAC1E,GAAG,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,GAAG,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QACvB,GAAG,CAAC,iBAAiB,CAAC,CAAC,CAAC,EAAE,iBAAiB,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QACnD,GAAG,CAAC,QAAQ,KAAK,SAAS,CAAC,CAAC,CAAC,EAAE,QAAQ,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QAC/C,GAAG,CAAC,SAAS,KAAK,SAAS,CAAC,CAAC,CAAC,EAAE,SAAS,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;KAClD,CAAA;AACH,CAAC;AAED,2CAA2C;AAC3C,SAAgB,gBAAgB,CAAC,GAA2C,EAAE,UAAkB;IAC9F,MAAM,QAAQ,GAAW,GAAG,EAAE,SAAiB,EAAE,QAAQ,IAAI,EAAE,CAAA;IAC/D,MAAM,GAAG,GAAG,QAAQ,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,CAAC,MAAM,CAAC,CAAC,EAAE,UAAU,IAAI,EAAE,CAAC,KAAK,UAAU,CAAC,CAAA;IAC1E,OAAO,GAAG,EAAE,MAAM,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,MAAM,CAAC,GAAG,CAAC,MAAM,CAAC,EAAE,CAAC,CAAC,CAAC,SAAS,CAAA;AACjE,CAAC","sourcesContent":["/*\n * 웹훅의 규약 — 상태 코드 · 비밀값 · 어느 트윈인가.\n *\n * 데이터베이스를 부르는 부분과 갈라 둔다(§`reference-hook`): 규약만 있는 자리라야 시험이 엔티티를\n * 끌고 오지 않는다. 실제로 그것 때문에 시험이 서지 않았다.\n *\n * ── 왜 필요한가 ─────────────────────────────────────────────────────────────\n * 지금 모든 커넥터가 주기적으로 물어봅니다(폴링). 그 방식은 두 가지를 치릅니다. 연결된 시스템이 값을\n * 갱신하는 주기보다 자주 물으면 같은 값을 되풀이 받고, 그쪽 서버에 그만큼 부담을 줍니다. 실제로\n * 태양광 발전소에 10초마다 물으면서 10분마다 바뀌는 값을 받아 왔습니다.\n *\n * 연결된 시스템이 「바뀌었다」를 말해 줄 수 있으면 그것을 받는 것이 낫습니다. 이 파일이 그 입구입니다.\n *\n * ── 규약 ────────────────────────────────────────────────────────────────────\n *\n *   주소     POST /domain/<도메인>/twin/hook/<연결이름>/<트윈>\n *   인증     연결 설정에 저장한 비밀값(`hookSecret`)을 헤더로 보낸다\n *            X-Twin-Hook-Secret: <비밀값>   또는   Authorization: Bearer <비밀값>\n *   본문     연결된 시스템이 정한 모양 그대로. 우리 어휘로 옮기는 것은 커넥터의 일이다\n *   응답     아래 §`hookStatus`\n *\n * ── 왜 사람 인증(JWT)이 아닌가 ──────────────────────────────────────────────\n * 밀어 주는 쪽은 사람이 아닙니다. 우리 토큰을 발급받아 갱신하며 관리하라고 요구하면 대부분의 현장에서\n * 연동이 서지 않습니다. 그래서 연결마다 비밀값을 두고 그것으로 확인합니다.\n *\n * **비밀값이 없는 연결은 훅을 받지 않습니다.** 기본이 거부입니다 — 인증 없는 입구를 열어 두는 것보다\n * 훅을 못 쓰는 것이 낫습니다.\n *\n * ── 왜 커넥터가 옮기나 (시나리오가 아니라) ──────────────────────────────────\n * 연결된 시스템의 웹훅은 그쪽이 정한 고정된 모양으로 옵니다. 그 모양을 아는 것은 그 커넥터이고,\n * 옮기는 판단은 코드여야 테스트로 지킬 수 있습니다. 실제로 지금 커넥터들이 코드로 판단합니다 —\n * 통신이 끊긴 설비의 값은 보내지 않고, 잰 시각이 나아가지 않은 줄은 거릅니다. 그 판단을 변환식으로\n * 옮기면 약해지고 테스트가 없어집니다.\n *\n * ── 밀어 주기만으로는 안 된다 ───────────────────────────────────────────────\n * 훅은 반드시 놓칩니다 — 우리가 내려가 있을 때, 그쪽이 못 보냈을 때, 네트워크가 끊겼을 때. 그래서\n * 훅을 쓰는 연결도 **드문 폴링을 유지합니다.** 폴링의 역할이 「값을 가져오는 것」에서 「놓친 것이 있나\n * 확인하는 것」으로 바뀌는 것입니다. 그 주기는 연결 설정이 정합니다.\n *\n * ── 같은 것이 두 번 오는 것 ─────────────────────────────────────────────────\n * 밀어 주는 방식은 재전송이 정상입니다(그쪽이 우리 응답을 못 받으면 다시 보냅니다). 그것은 유입\n * 경계가 이미 거릅니다(§`FactDeduper`) — 이 파일이 따로 하지 않습니다. 응답에 몇 건이 중복이었는지\n * 함께 알립니다.\n */\n/*\n * `WebhookResponse` comes from the root, not from `@operato/ops-contract/webhook`.\n *\n * That subpath resolves to `webhook-signature`, which is a separate module kept out of the barrel\n * because it pulls in `node:crypto`. The module actually named `webhook.ts` — status codes, the\n * envelope, the response — reaches consumers through the root barrel. Importing the response type\n * from the subpath fails with TS2305, which is what happened here first.\n */\nimport { checkSequence, type WebhookResponse } from '@operato/ops-contract'\nimport { WEBHOOK_HEADER, verifyWebhookSignature } from '@operato/ops-contract/webhook'\n\n/*\n * The body is typed by the contract, not by this file (2026-09-07).\n *\n * It was `Record<string, unknown>`, which accepts anything — so nothing checked that what we reply\n * with is what a sender was told to expect. It was not: the contract declared `rejected` in prose\n * only, operato-plant guessed \"a list of envelope ids\", and a whole batch was stamped delivered\n * while one envelope never landed (mes_outbox_events seq 178 — SENT, attempts 0, no error).\n *\n * With `WebhookResponse` here, adding a field to a reply without declaring it fails the build on\n * this side, which is the side that would otherwise ship the surprise.\n */\n/** 훅 요청의 결과 — 상태 코드와 본문을 함께 정한다(부르는 쪽이 그대로 답한다). */\nexport interface HookOutcome {\n  status: number\n  body: WebhookResponse\n}\n\n/**\n * 응답 코드 규약 — **계약이 정하고 여기서는 그것을 쓴다**(2026-08-31).\n *\n * 예전에는 이 표가 여기 있었고 보내는 쪽(operato-plant)에 또 있었다. 그래서 같은 409 를 양쪽이 다른\n * 뜻으로 썼다 — 여기서는 「그 트윈이 실시간으로 돌지 않는다」, 저쪽에서는 「번호가 비었다」였다.\n * 붙였다면 트윈이 안 도는 동안 보내는 쪽이 같은 구간을 계속 다시 보냈다.\n *\n * 판정표는 만드는 쪽과 읽는 쪽이 합의해야 하는 것이라 계약 층에 있다(`@operato/ops-contract`).\n * `notLive` 가 409 에서 503 으로 옮겨진 이유도 그 파일에 적혀 있다.\n *\n * **여기서 이름을 바꿔 다시 내보내지 않는다.** 부르는 쪽은 `WEBHOOK_STATUS` 를 계약에서 바로 가져온다.\n * 별명을 두면 같은 표에 이름이 둘이 되고, 다음 사람이 어느 쪽이 정본인지 물어야 한다.\n */\n\n/** 헤더에서 비밀값을 꺼낸다 — 두 가지 방식을 받는다(밀어 주는 쪽의 관습이 갈린다). */\nexport function secretFromHeaders(headers: Record<string, unknown> | undefined): string {\n  const pick = (k: string) => String((headers ?? {})[k] ?? '').trim()\n  const direct = pick('x-twin-hook-secret')\n  if (direct) return direct\n  const auth = pick('authorization')\n  return auth.toLowerCase().startsWith('bearer ') ? auth.slice(7).trim() : ''\n}\n\n/**\n * 비밀값 비교 — **길이가 다르면 바로 거절하고, 같으면 끝까지 비교한다.**\n *\n * 앞에서 다른 것을 발견하고 곧바로 답하면 응답 시간이 달라지고, 그 차이로 비밀값을 한 글자씩 알아낼 수\n * 있습니다. 그래서 같은 길이면 전부를 비교합니다.\n */\nexport function secretMatches(given: string, expected: string): boolean {\n  if (!expected || !given || given.length !== expected.length) return false\n  let diff = 0\n  for (let i = 0; i < expected.length; i++) diff |= given.charCodeAt(i) ^ expected.charCodeAt(i)\n  return diff === 0\n}\n\n/**\n * 인증 — **서명이 왔으면 서명을 보고, 아니면 비밀값을 본다.**\n *\n * 두 방식을 두는 이유는 밀어 주는 쪽의 사정이 다르기 때문이다. 이미 붙어 있는 커넥터는 비밀값을 헤더에\n * 싣는 방식으로 만들어졌고, 새로 만드는 것(operato-plant)은 서명을 쓴다. 서명 쪽이 낫다 — 비밀값을 그대로\n * 싣는 방식은 그 요청을 그대로 다시 보내는 것을 막지 못한다.\n *\n * **서명이 왔는데 확인할 수 없으면 거절한다.** 받은 바이트를 들고 있지 않으면(`rawBody` 가 없으면)\n * 파싱한 객체를 다시 문자열로 만들어 확인하고 싶어지는데, 키 순서와 공백이 달라져 어차피 맞지 않는다.\n * 맞지 않는 것을 통과시키면 서명이 있으나 마나 한 것이 된다.\n */\nexport function authorizeHook(args: {\n  headers: Record<string, unknown> | undefined\n  /** 받은 바이트 그대로. 서명을 쓰지 않는 연결에서는 없어도 된다. */\n  rawBody: string | undefined\n  /** 연결 설정에 저장된 비밀값. 서명과 비밀값이 같은 값을 쓴다. */\n  secret: string\n  nowMs: number\n}): { ok: true; method: 'signature' | 'secret' } | { ok: false; reason: string } {\n  const { headers, rawBody, secret, nowMs } = args\n  const pick = (k: string) => String((headers ?? {})[k] ?? '').trim()\n  const signature = pick(WEBHOOK_HEADER.signature)\n\n  if (signature) {\n    if (rawBody === undefined) {\n      return { ok: false, reason: 'signed request but the raw body was not kept — cannot verify' }\n    }\n    const verdict = verifyWebhookSignature({\n      secret,\n      timestamp: pick(WEBHOOK_HEADER.timestamp),\n      signature,\n      body: rawBody,\n      nowMs\n    })\n    /* `=== false` 로 본다 — 이 저장소는 `strictNullChecks` 가 꺼져 있어 참·거짓만으로는 좁혀지지 않는다. */\n    if (verdict.ok === false) return { ok: false, reason: `signature ${verdict.reason}` }\n    return { ok: true, method: 'signature' }\n  }\n\n  return secretMatches(secretFromHeaders(headers), secret)\n    ? { ok: true, method: 'secret' }\n    : { ok: false, reason: 'hook secret does not match' }\n}\n\n/**\n * 커서에 적을 열쇠 — **트윈까지 넣는다.**\n *\n * ── 왜 (2026-08-31, MES 레인 질문에서 나옴) ───────────────────────────────\n * 커서는 **연결마다** 한 행(`TwinReference.liveCursor`)에 산다. 그런데 연결 하나가 트윈 여럿을\n * 만든다(`scopeSpec.produced` 가 목록이다). 보내는 쪽의 단위 이름만으로 열쇠를 잡으면, 같은 연결의\n * 두 공장이 같은 이름(`EVENTS`)을 쓸 때 **한 계수기를 함께 쓴다.**\n *\n * 그러면 A 공장이 5까지 올린 뒤 B 공장이 1을 보내면 이미 본 번호가 되어 버려지고, A 가 6을 보내면\n * B 의 번호와 어긋나 끊임없이 「빠졌다」가 된다. 같은 부류가 이 저장소에서 이미 났다 — 두 공장의\n * 같은 번호가 한 자리에 겹쳤다.\n *\n * 보내는 쪽에 트윈 이름을 넣으라고 하지 않는다. 어디로 갈지는 주소가 이미 말했고, 그것을 본문에도\n * 적으라고 하면 둘이 어긋나는 날 어느 쪽을 믿을지 정해야 한다.\n */\nexport function pushCursorKey(instanceId: string, scope: string): string {\n  return `${instanceId}::${scope}`\n}\n\n/**\n * 커서에서 그 단위의 마지막 번호를 꺼낸다.\n *\n * 커서 모양은 `{ streams: { [흐름]: { since?, seen[], seq? } } }` 이고 **흐름 이름은 어댑터가 정한다**\n * (§`TwinReference.liveCursor`). 밀어 주는 연결에서는 그 이름이 곧 번호를 매기는 단위다.\n *\n * 자리를 따로 만들지 않는 이유는 「재기동을 넘어 사는 진행 위치」가 두 벌이 되기 때문이다. 폴링이 쓰는\n * `since` 와 밀어 주기가 쓰는 `seq` 는 둘 다 「이 흐름을 어디까지 읽었나」이고 원본이 되풀어 줄 수 있다.\n */\nexport function seqOf(cursor: unknown, scope: string): number | undefined {\n  const streams = (cursor as any)?.streams\n  const seq = streams?.[scope]?.seq\n  return typeof seq === 'number' && Number.isInteger(seq) ? seq : undefined\n}\n\n/** 그 단위의 번호만 바꾼 커서를 만든다 — 다른 흐름과 `since`·`seen` 은 그대로 둔다. */\nexport function withSeq(cursor: unknown, scope: string, seq: number, firstSeq?: number): Record<string, unknown> {\n  const base = (cursor && typeof cursor === 'object' ? (cursor as Record<string, unknown>) : {}) as Record<string, any>\n  const streams = base.streams && typeof base.streams === 'object' ? { ...base.streams } : {}\n  const prev = streams[scope] ?? {}\n  /*\n   * **`firstSeq` 는 한 번만 적힌다.** 이 연결이 이 단위를 몇 번부터 받기 시작했는지는 바뀌지 않는\n   * 사실이고, 나중에 덮으면 「앞이 비었나」를 다시 물을 수 없다.\n   *\n   * 그래서 첫 봉투 판정이 있을 때만 넘어온다(`SequencedTake.firstSeq`). 커서가 이미 나아간 뒤에\n   * 이 값을 만들면 그 번호는 첫 번호가 아니라 그때 마침 온 번호다.\n   */\n  streams[scope] = { ...prev, seq, ...(firstSeq !== undefined && prev.firstSeq === undefined ? { firstSeq } : {}) }\n  return { ...base, streams }\n}\n\n/**\n * 이 연결이 이 단위를 **몇 번부터 받기 시작했나** — 적힌 적이 없으면 `undefined`.\n *\n * 「앞이 비었나」를 답하려면 이 값이 있어야 한다. 없으면 **모른다고 말해야 한다** — 0 으로 답하면\n * 1번부터 다 받은 것으로 읽힌다.\n */\nexport function firstSeqOf(cursor: unknown, scope: string): number | undefined {\n  const seq = (cursor as any)?.streams?.[scope]?.firstSeq\n  return typeof seq === 'number' && Number.isInteger(seq) ? seq : undefined\n}\n\n/**\n * **번호대로 받을 수 있는 데까지 자른다** — 밀어 받는 길과 backfill 하는 길이 이 함수 하나를 지난다.\n *\n * ── 왜 갈라 두나 (2026-08-31) ────────────────────────────────────────────\n * 이 판정이 훅 안에 박혀 있었다. backfill(`fetchSince`)이 같은 판정을 해야 하는데, 거기서 다시 만들면\n * **두 길이 다른 규칙으로 받는다** — 한쪽만 고쳐지는 날이 오고, 어긋난 그 길에서만 사실이 사라진다.\n *\n * 번호 확인을 커넥터가 아니라 프레임워크로 가져온 것과 같은 이유다. 자리가 하나여야 한다.\n *\n * ── 첫 구멍에서 멈춘다 ───────────────────────────────────────────────────\n * 구멍 뒤의 봉투를 받아들이면 그 구멍이 영영 메워지지 않는다. 보내는 쪽은 `expectedSeq` 부터 다시\n * 보내고, 뒤엣것은 그때 함께 온다.\n */\nexport interface SequencedTake {\n  /** 받아들인 레코드 — 구멍 앞까지다. */\n  records: unknown[]\n  /** 번호를 확인했나. 번호를 매기지 않는 원본은 거짓이고, 그 사실을 응답에 남긴다. */\n  numbered: boolean\n  /** 커서에 적을 번호 — 받은 것이 없으면 없다. */\n  advancedSeq?: number\n  /** 구멍이 났다 — 그 앞부터 다시 받아야 한다. */\n  gap?: { expectedSeq: number; lastSeq: number }\n  /**\n   * 이 단위의 **첫 봉투였다** — 그 앞으로 몇 개를 못 봤나.\n   *\n   * ── 왜 이 칸이 생겼나 (2026-09-06 실측) ──────────────────────────────────\n   * plant 아웃박스의 1~20 이 400 으로 거절돼 그 연결에 커서가 없었다. 다음에 온 21번이 첫 봉투로\n   * 앉으며 **커서가 21 로 뛰었다.** 커서가 0 이었다면 같은 21이 구멍이었다.\n   *\n   * 스무 건이 없는데 구멍으로도 안 세어지고, 경고도 없고, backfill 대상도 아니었다 — backfill 은 커서부터\n   * 묻는다. 그 사실이 아무 데도 안 남았다.\n   *\n   * **손실이라고 말하지 않는다.** 원본이 오래 돌고 있는데 트윈을 나중에 붙이면 그 아래는 애초에\n   * 안 받기로 한 것이다. 계약은 둘을 구별할 수 없으므로 수만 낸다.\n   *\n   * 0 이면 1번부터 시작한 것이라 이 칸을 내지 않는다 — 말할 것이 없다.\n   */\n  firstUnseenBefore?: number\n  /**\n   * 이 묶음의 첫 봉투가 **이 단위의 첫 봉투였다** — 그 번호.\n   *\n   * `firstUnseenBefore` 와 다르다: 이쪽은 1번부터 시작한 연결에도 있다(값 1). 커서에 적어 두면\n   * 나중에 「앞이 비었나」를 답할 수 있다.\n   */\n  firstSeq?: number\n  /**\n   * 이 묶음에서 **가장 낮게 받아들인 번호** — 하나도 못 받았으면 없다.\n   *\n   * `firstSeq` 와 다르다. `firstSeq` 는 「이 단위의 첫 봉투였다」일 때만 있고, 이쪽은 언제나 있다.\n   *\n   * 밑에서부터 다시 받을 때 이것이 필요하다. `from: 0` 으로 부르면 커서가 0 이므로 seq 1 은\n   * `next` 판정이고 `firstSeq` 가 안 생긴다 — 그런데 우리는 실제로 1번부터 갖게 된다. 그 사실을\n   * 적어야 「앞이 비었나」에 답할 수 있다.\n   */\n  lowestSeq?: number\n  /**\n   * 받을 수 없는 묶음 — 그 이유.\n   *\n   * 번호가 있는 봉투와 없는 봉투가 섞였거나 번호가 정수가 아니다. 둘 다 보내는 쪽의 결함이고,\n   * **반쯤 확인한 것을 확인했다고 말하지 않는다.**\n   */\n  refused?: string\n}\n\nexport function takeInSequence(args: {\n  items: { record: unknown; seq?: number; at?: string }[]\n  scope?: string\n  /** 이 단위에서 마지막으로 받아들인 번호. 받은 적이 없으면 `undefined`. */\n  lastSeq?: number\n}): SequencedTake {\n  const { items, scope, lastSeq } = args\n\n  const withSeq = items.filter(i => typeof i?.seq === 'number').length\n  if (withSeq && withSeq !== items.length) {\n    return { records: [], numbered: false, refused: `mixed batch — ${withSeq} of ${items.length} items carry a sequence number` }\n  }\n  const numbered = withSeq > 0 && !!scope\n\n  if (!numbered) return { records: items.map(i => i.record), numbered: false }\n\n  let cursor = lastSeq\n  let take = 0\n  let gap: { expectedSeq: number; lastSeq: number } | undefined\n  /* 첫 봉투가 몇 번부터 시작했나 — 그 앞을 못 본 사실을 응답에 남긴다. */\n  let firstUnseenBefore: number | undefined\n  /* 이 단위를 몇 번부터 받기 시작했나 — 커서에 적어 두면 「앞이 비었나」를 나중에 답할 수 있다. */\n  let firstSeq: number | undefined\n  /* 이 묶음에서 가장 낮게 받아들인 번호 — 밑에서부터 다시 받을 때 이것이 firstSeq 가 된다. */\n  let lowestSeq: number | undefined\n  for (const item of items) {\n    let verdict\n    try {\n      verdict = checkSequence(cursor, item.seq as number)\n    } catch (e: any) {\n      return { records: [], numbered: true, refused: e?.message ?? 'bad sequence number' }\n    }\n    if (verdict.kind === 'gap') {\n      gap = { expectedSeq: verdict.expectedSeq, lastSeq: verdict.lastSeq }\n      break\n    }\n    if (verdict.kind === 'first') {\n      firstSeq = item.seq as number\n      /*\n       * 계약이 `unseenBefore` 를 내면 그것을 쓴다. 설치된 판이 그보다 오래됐으면 번호에서 센다 —\n       * 첫 봉투의 번호 아래로 그만큼이 있고 우리는 그것을 받은 적이 없다.\n       *\n       * ⚠ 이 두 번째 길은 계약 0.9.9 가 깔리면 지운다. 그때까지 두는 이유는, 계약을 기다리며\n       * 비워 두면 **코드는 있는데 아무 일도 안 하는 상태**가 되고 그것이 이 결함의 원인과 같은\n       * 모양이기 때문이다.\n       */\n      const unseen = (verdict as any).unseenBefore ?? (item.seq as number) - 1\n      if (unseen > 0) firstUnseenBefore = unseen\n    }\n    if (lowestSeq === undefined) lowestSeq = item.seq as number\n    cursor = verdict.lastSeq\n    take++\n  }\n\n  return {\n    /*\n     * **봉투의 시각을 레코드에 얹는다** — 레코드가 자기 시각을 말하면 그것이 이긴다.\n     *\n     * 시각을 안 싣는 레코드는 ingest 시각으로 떨어지고, 그 값이 실행할 때마다 달라서 fact identity 가\n     * 매번 바뀐다. 그래서 같은 사실을 다시 받으면 dedupe 가 안 되고 새 사실로 앉는다 —\n     * `fillTwinScope` 를 두 번 돌렸더니 저널이 40 → 69건이 됐다(2026-09-06 측정).\n     */\n    records: items.slice(0, take).map(i => {\n      const r = i.record as any\n      if (!i.at || r == null || typeof r !== 'object') return i.record\n      return r.at === undefined && r.eventTime === undefined ? { ...r, at: i.at } : i.record\n    }),\n    numbered: true,\n    /* 앞의 것을 하나도 못 받았으면 커서를 올릴 것이 없다. */\n    ...(take > 0 && typeof cursor === 'number' ? { advancedSeq: cursor } : {}),\n    ...(gap ? { gap } : {}),\n    ...(firstUnseenBefore ? { firstUnseenBefore } : {}),\n    ...(firstSeq !== undefined ? { firstSeq } : {}),\n    ...(lowestSeq !== undefined ? { lowestSeq } : {})\n  }\n}\n\n/** 이 연결이 이 트윈을 만들었나 — 남의 트윈에 밀어 넣지 못하게. */\nexport function producedInstance(ref: { scopeSpec?: any } | null | undefined, instanceId: string): { siteId: string } | undefined {\n  const produced: any[] = (ref?.scopeSpec as any)?.produced ?? []\n  const hit = produced.find(p => String(p?.instanceId ?? '') === instanceId)\n  return hit?.siteId ? { siteId: String(hit.siteId) } : undefined\n}\n\n"]}

package/dist-server/service/reference/hook-rejected.d.ts

@@ -0,0 +1,25 @@
+/** 훅 응답에 실리는 떨어진 것 하나 — 봉투 id 를 알면 그것을, 모르면 레코드를. */
+export type RejectedForCaller = {
+    eventId: string;
+    errors: string[];
+} | {
+    record: unknown;
+    errors: string[];
+};
+/**
+ * 떨어진 것에 봉투 id 를 붙인다.
+ *
+ * **짝은 객체 동일성으로 짓는다.** 유입에 넘긴 레코드가 배치의 원소 그대로이므로(§`takeInSequence`)
+ * 커넥터를 고치지 않고도 봉투로 되짚을 수 있다. 값으로 비교하면 같은 모양의 레코드 둘이 서로의 id 를
+ * 가져간다 — 그러면 보내는 쪽이 **엉뚱한 행**을 떨어진 것으로 표시한다.
+ *
+ * **id 를 못 찾으면 레코드를 그대로 싣는다.** 빈 id 를 실으면 보내는 쪽이 아무 행도 못 찾으면서
+ * 「알았다」고 여긴다 — 지금 났던 일이 정확히 그것이다.
+ */
+export declare function rejectedForCaller(rejected: readonly {
+    record: unknown;
+    errors: string[];
+}[], items: readonly {
+    record?: unknown;
+    eventId?: unknown;
+}[]): RejectedForCaller[];

package/dist-server/service/reference/hook-rejected.js

@@ -0,0 +1,48 @@
+"use strict";
+/*
+ * 떨어진 것을 **보내는 쪽이 알아들을 모양으로** 바꾼다 — 순수 판정, 한 곳.
+ *
+ * ── 무엇이 있었나 (2026-09-07 측정) ─────────────────────────────────────────
+ * 훅 응답의 떨어진 목록이 `{ record, errors }` 였고, plant 은 그것을 **봉투 id 문자열 목록**으로
+ * 읽고 있었다.
+ *
+ * ```
+ * headless-twin  rejected: { record, errors }[]        객체 배열
+ * plant          "rejected is a list of envelope ids"  문자열 배열
+ * ```
+ *
+ * `Array.isArray` 는 통과하므로 그쪽의 새 guard 도 안 걸렸다. id 를 맞추는데 객체라 하나도 안 맞고
+ * **묶음 전체가 「보냈음」으로 찍혔다.** 422 와 `ok: false` 를 보냈는데 그쪽 행은 재시도 0 ·
+ * 오류 없음 · 보냈음이었다. 인티그레이션 레인이 두 파일을 나란히 읽어서 찾았다.
+ *
+ * 우리가 말했는데 상대가 못 알아듣는 모양이면, 말한 것이 아니다.
+ *
+ * ── 왜 배선에서 갈라 놓나 ───────────────────────────────────────────────────
+ * `reference-hook.ts` 는 엔티티를 물어서 시험 러너가 못 읽는다. 이 판정은 평범한 값으로 확인할 수
+ * 있어야 하고, 오늘 이 저장소에서 「고쳐도 통과하고 안 고쳐도 통과하는 시험」이 여럿 나왔다.
+ */
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.rejectedForCaller = rejectedForCaller;
+/**
+ * 떨어진 것에 봉투 id 를 붙인다.
+ *
+ * **짝은 객체 동일성으로 짓는다.** 유입에 넘긴 레코드가 배치의 원소 그대로이므로(§`takeInSequence`)
+ * 커넥터를 고치지 않고도 봉투로 되짚을 수 있다. 값으로 비교하면 같은 모양의 레코드 둘이 서로의 id 를
+ * 가져간다 — 그러면 보내는 쪽이 **엉뚱한 행**을 떨어진 것으로 표시한다.
+ *
+ * **id 를 못 찾으면 레코드를 그대로 싣는다.** 빈 id 를 실으면 보내는 쪽이 아무 행도 못 찾으면서
+ * 「알았다」고 여긴다 — 지금 났던 일이 정확히 그것이다.
+ */
+function rejectedForCaller(rejected, items) {
+    const idOf = new Map();
+    for (const it of items) {
+        const id = typeof it?.eventId === 'string' && it.eventId.trim() ? it.eventId : undefined;
+        if (id && it?.record !== undefined)
+            idOf.set(it.record, id);
+    }
+    return rejected.map(r => {
+        const eventId = idOf.get(r.record);
+        return eventId ? { eventId, errors: r.errors } : { record: r.record, errors: r.errors };
+    });
+}
+//# sourceMappingURL=hook-rejected.js.map

package/dist-server/service/reference/hook-rejected.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"hook-rejected.js","sourceRoot":"","sources":["../../../server/service/reference/hook-rejected.ts"],"names":[],"mappings":";AAAA;;;;;;;;;;;;;;;;;;;;;GAqBG;;AAeH,8CAgBC;AA1BD;;;;;;;;;GASG;AACH,SAAgB,iBAAiB,CAC/B,QAA0D,EAC1D,KAAyD;IAEzD,MAAM,IAAI,GAAG,IAAI,GAAG,EAAmB,CAAA;IAEvC,KAAK,MAAM,EAAE,IAAI,KAAK,EAAE,CAAC;QACvB,MAAM,EAAE,GAAG,OAAO,EAAE,EAAE,OAAO,KAAK,QAAQ,IAAI,EAAE,CAAC,OAAO,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC,OAAO,CAAC,CAAC,CAAC,SAAS,CAAA;QACxF,IAAI,EAAE,IAAI,EAAE,EAAE,MAAM,KAAK,SAAS;YAAE,IAAI,CAAC,GAAG,CAAC,EAAE,CAAC,MAAM,EAAE,EAAE,CAAC,CAAA;IAC7D,CAAC;IAED,OAAO,QAAQ,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE;QACtB,MAAM,OAAO,GAAG,IAAI,CAAC,GAAG,CAAC,CAAC,CAAC,MAAM,CAAC,CAAA;QAElC,OAAO,OAAO,CAAC,CAAC,CAAC,EAAE,OAAO,EAAE,MAAM,EAAE,CAAC,CAAC,MAAM,EAAE,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,CAAC,CAAC,MAAM,EAAE,MAAM,EAAE,CAAC,CAAC,MAAM,EAAE,CAAA;IACzF,CAAC,CAAC,CAAA;AACJ,CAAC","sourcesContent":["/*\n * 떨어진 것을 **보내는 쪽이 알아들을 모양으로** 바꾼다 — 순수 판정, 한 곳.\n *\n * ── 무엇이 있었나 (2026-09-07 측정) ─────────────────────────────────────────\n * 훅 응답의 떨어진 목록이 `{ record, errors }` 였고, plant 은 그것을 **봉투 id 문자열 목록**으로\n * 읽고 있었다.\n *\n * ```\n * headless-twin  rejected: { record, errors }[]        객체 배열\n * plant          \"rejected is a list of envelope ids\"  문자열 배열\n * ```\n *\n * `Array.isArray` 는 통과하므로 그쪽의 새 guard 도 안 걸렸다. id 를 맞추는데 객체라 하나도 안 맞고\n * **묶음 전체가 「보냈음」으로 찍혔다.** 422 와 `ok: false` 를 보냈는데 그쪽 행은 재시도 0 ·\n * 오류 없음 · 보냈음이었다. 인티그레이션 레인이 두 파일을 나란히 읽어서 찾았다.\n *\n * 우리가 말했는데 상대가 못 알아듣는 모양이면, 말한 것이 아니다.\n *\n * ── 왜 배선에서 갈라 놓나 ───────────────────────────────────────────────────\n * `reference-hook.ts` 는 엔티티를 물어서 시험 러너가 못 읽는다. 이 판정은 평범한 값으로 확인할 수\n * 있어야 하고, 오늘 이 저장소에서 「고쳐도 통과하고 안 고쳐도 통과하는 시험」이 여럿 나왔다.\n */\n\n/** 훅 응답에 실리는 떨어진 것 하나 — 봉투 id 를 알면 그것을, 모르면 레코드를. */\nexport type RejectedForCaller = { eventId: string; errors: string[] } | { record: unknown; errors: string[] }\n\n/**\n * 떨어진 것에 봉투 id 를 붙인다.\n *\n * **짝은 객체 동일성으로 짓는다.** 유입에 넘긴 레코드가 배치의 원소 그대로이므로(§`takeInSequence`)\n * 커넥터를 고치지 않고도 봉투로 되짚을 수 있다. 값으로 비교하면 같은 모양의 레코드 둘이 서로의 id 를\n * 가져간다 — 그러면 보내는 쪽이 **엉뚱한 행**을 떨어진 것으로 표시한다.\n *\n * **id 를 못 찾으면 레코드를 그대로 싣는다.** 빈 id 를 실으면 보내는 쪽이 아무 행도 못 찾으면서\n * 「알았다」고 여긴다 — 지금 났던 일이 정확히 그것이다.\n */\nexport function rejectedForCaller(\n  rejected: readonly { record: unknown; errors: string[] }[],\n  items: readonly { record?: unknown; eventId?: unknown }[]\n): RejectedForCaller[] {\n  const idOf = new Map<unknown, string>()\n\n  for (const it of items) {\n    const id = typeof it?.eventId === 'string' && it.eventId.trim() ? it.eventId : undefined\n    if (id && it?.record !== undefined) idOf.set(it.record, id)\n  }\n\n  return rejected.map(r => {\n    const eventId = idOf.get(r.record)\n\n    return eventId ? { eventId, errors: r.errors } : { record: r.record, errors: r.errors }\n  })\n}\n"]}

package/dist-server/service/reference/hook-store.d.ts

@@ -0,0 +1,3 @@
+import type { HookStore } from './reference-hook.js';
+/** 실제 저장소를 쓰는 구현 — 라우터가 이것을 넣는다. */
+export declare function databaseStore(): HookStore;

package/dist-server/service/reference/hook-store.js

@@ -0,0 +1,28 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.databaseStore = databaseStore;
+/*
+ * 훅이 저장소에 닿는 두 자리 — 연결을 찾는 것과 커서를 적는 것.
+ *
+ * ── 왜 갈라져 있나 (2026-08-31) ──────────────────────────────────────────
+ * `reference-hook.ts` 가 엔티티를 직접 가져오면 그 파일을 부르는 시험이 TypeORM 데코레이터를 지나게
+ * 되고, 시험이 서지 않는다. 실제로 훅 시험이 규약 파일(`hook-contract.ts`)만 부르고 있었던 이유가
+ * 그것이다 — 그래서 **배선은 아무 시험도 걷지 않았다.**
+ *
+ * 저장소에 닿는 두 함수만 여기로 내면, 처리 순서 전체를 시험이 같은 함수로 걸을 수 있다. 시험은
+ * 저장본을 손에 들고 있는 구현을 넣어 재기동까지 넣는다.
+ */
+const shell_1 = require("@things-factory/shell");
+const twin_reference_js_1 = require("./twin-reference.js");
+/** 실제 저장소를 쓰는 구현 — 라우터가 이것을 넣는다. */
+function databaseStore() {
+    return {
+        load: (domainId, source) => (0, shell_1.getRepository)(twin_reference_js_1.TwinReference)
+            .findOne({ where: { domain: { id: domainId }, source } })
+            .catch(() => null),
+        saveCursor: async (refId, cursor) => {
+            await (0, shell_1.getRepository)(twin_reference_js_1.TwinReference).update({ id: refId }, { liveCursor: cursor });
+        }
+    };
+}
+//# sourceMappingURL=hook-store.js.map

package/dist-server/service/reference/hook-store.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"hook-store.js","sourceRoot":"","sources":["../../../server/service/reference/hook-store.ts"],"names":[],"mappings":";;AAiBA,sCAUC;AA3BD;;;;;;;;;;GAUG;AACH,iDAAqD;AAErD,2DAAmD;AAGnD,oCAAoC;AACpC,SAAgB,aAAa;IAC3B,OAAO;QACL,IAAI,EAAE,CAAC,QAAgB,EAAE,MAAc,EAAE,EAAE,CACzC,IAAA,qBAAa,EAAC,iCAAa,CAAC;aACzB,OAAO,CAAC,EAAE,KAAK,EAAE,EAAE,MAAM,EAAE,EAAE,EAAE,EAAE,QAAQ,EAAE,EAAE,MAAM,EAAE,EAAE,CAAC;aACxD,KAAK,CAAC,GAAG,EAAE,CAAC,IAAI,CAAC;QACtB,UAAU,EAAE,KAAK,EAAE,KAAa,EAAE,MAAe,EAAE,EAAE;YACnD,MAAM,IAAA,qBAAa,EAAC,iCAAa,CAAC,CAAC,MAAM,CAAC,EAAE,EAAE,EAAE,KAAK,EAAE,EAAE,EAAE,UAAU,EAAE,MAAM,EAAS,CAAC,CAAA;QACzF,CAAC;KACF,CAAA;AACH,CAAC","sourcesContent":["/*\n * 훅이 저장소에 닿는 두 자리 — 연결을 찾는 것과 커서를 적는 것.\n *\n * ── 왜 갈라져 있나 (2026-08-31) ──────────────────────────────────────────\n * `reference-hook.ts` 가 엔티티를 직접 가져오면 그 파일을 부르는 시험이 TypeORM 데코레이터를 지나게\n * 되고, 시험이 서지 않는다. 실제로 훅 시험이 규약 파일(`hook-contract.ts`)만 부르고 있었던 이유가\n * 그것이다 — 그래서 **배선은 아무 시험도 걷지 않았다.**\n *\n * 저장소에 닿는 두 함수만 여기로 내면, 처리 순서 전체를 시험이 같은 함수로 걸을 수 있다. 시험은\n * 저장본을 손에 들고 있는 구현을 넣어 재기동까지 넣는다.\n */\nimport { getRepository } from '@things-factory/shell'\n\nimport { TwinReference } from './twin-reference.js'\nimport type { HookStore } from './reference-hook.js'\n\n/** 실제 저장소를 쓰는 구현 — 라우터가 이것을 넣는다. */\nexport function databaseStore(): HookStore {\n  return {\n    load: (domainId: string, source: string) =>\n      getRepository(TwinReference)\n        .findOne({ where: { domain: { id: domainId }, source } })\n        .catch(() => null),\n    saveCursor: async (refId: string, cursor: unknown) => {\n      await getRepository(TwinReference).update({ id: refId }, { liveCursor: cursor } as any)\n    }\n  }\n}\n"]}

package/dist-server/service/reference/index.d.ts

@@ -1,8 +1,11 @@
+import { ConnectionPortabilityResolver } from './connection-portability-resolver.js';
 import { TwinReferenceResolver } from './reference-resolver.js';
 import { TwinReferenceProgressSubscription } from './reference-progress-subscription.js';
 import { TwinReference } from './twin-reference.js';
 export declare const entities: (typeof TwinReference)[];
-export declare const resolvers: (typeof TwinReferenceResolver | typeof TwinReferenceProgressSubscription)[];
+export declare const resolvers: (typeof ConnectionPortabilityResolver | typeof TwinReferenceResolver | typeof TwinReferenceProgressSubscription)[];
 export * from './control-routing.js';
 export * from './reference-progress.js';
 export * from './reference-probe.js';
+export * from './reference-fill.js';
+export * from './connection-portability.js';

package/dist-server/service/reference/index.js

@@ -2,14 +2,18 @@
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.resolvers = exports.entities = void 0;
 const tslib_1 = require("tslib");
+const connection_portability_resolver_js_1 = require("./connection-portability-resolver.js");
 const reference_resolver_js_1 = require("./reference-resolver.js");
 const reference_progress_subscription_js_1 = require("./reference-progress-subscription.js");
 const twin_reference_js_1 = require("./twin-reference.js");
 exports.entities = [twin_reference_js_1.TwinReference];
-exports.resolvers = [reference_resolver_js_1.TwinReferenceResolver, reference_progress_subscription_js_1.TwinReferenceProgressSubscription];
+exports.resolvers = [reference_resolver_js_1.TwinReferenceResolver, reference_progress_subscription_js_1.TwinReferenceProgressSubscription, connection_portability_resolver_js_1.ConnectionPortabilityResolver];
 tslib_1.__exportStar(require("./control-routing.js"), exports);
 /* 진행 단계 어휘 — **모든 커넥터가 같은 낱말로 말한다.** 화면은 단계마다 번역 하나만 두면 된다. */
 tslib_1.__exportStar(require("./reference-progress.js"), exports);
 /* 커넥터 점검 하네스 — 실 원본에 붙여 무엇이 채워지고 무엇이 비는지 센다(앱을 띄우지 않는다). */
 tslib_1.__exportStar(require("./reference-probe.js"), exports);
+/* 놓친 구간을 backfill 해 채우는 길 — 밀어 받는 길과 같은 번호 검사를 지난다. */
+tslib_1.__exportStar(require("./reference-fill.js"), exports);
+tslib_1.__exportStar(require("./connection-portability.js"), exports);
 //# sourceMappingURL=index.js.map

package/dist-server/service/reference/index.js.map

@@ -1 +1 @@
-{"version":3,"file":"index.js","sourceRoot":"","sources":["../../../server/service/reference/index.ts"],"names":[],"mappings":";;;;AAAA,mEAA+D;AAC/D,6FAAwF;AACxF,2DAAmD;AAEtC,QAAA,QAAQ,GAAG,CAAC,iCAAa,CAAC,CAAA;AAC1B,QAAA,SAAS,GAAG,CAAC,6CAAqB,EAAE,sEAAiC,CAAC,CAAA;AACnF,+DAAoC;AACpC,+DAA+D;AAC/D,kEAAuC;AACvC,4DAA4D;AAC5D,+DAAoC","sourcesContent":["import { TwinReferenceResolver } from './reference-resolver.js'\nimport { TwinReferenceProgressSubscription } from './reference-progress-subscription.js'\nimport { TwinReference } from './twin-reference.js'\n\nexport const entities = [TwinReference]\nexport const resolvers = [TwinReferenceResolver, TwinReferenceProgressSubscription]\nexport * from './control-routing.js'\n/* 진행 단계 어휘 — **모든 커넥터가 같은 낱말로 말한다.** 화면은 단계마다 번역 하나만 두면 된다. */\nexport * from './reference-progress.js'\n/* 커넥터 점검 하네스 — 실 원본에 붙여 무엇이 채워지고 무엇이 비는지 센다(앱을 띄우지 않는다). */\nexport * from './reference-probe.js'\n"]}
+{"version":3,"file":"index.js","sourceRoot":"","sources":["../../../server/service/reference/index.ts"],"names":[],"mappings":";;;;AAAA,6FAAoF;AACpF,mEAA+D;AAC/D,6FAAwF;AACxF,2DAAmD;AAEtC,QAAA,QAAQ,GAAG,CAAC,iCAAa,CAAC,CAAA;AAC1B,QAAA,SAAS,GAAG,CAAC,6CAAqB,EAAE,sEAAiC,EAAE,kEAA6B,CAAC,CAAA;AAClH,+DAAoC;AACpC,+DAA+D;AAC/D,kEAAuC;AACvC,4DAA4D;AAC5D,+DAAoC;AACpC,uDAAuD;AACvD,8DAAmC;AACnC,sEAA2C","sourcesContent":["import { ConnectionPortabilityResolver } from './connection-portability-resolver.js'\nimport { TwinReferenceResolver } from './reference-resolver.js'\nimport { TwinReferenceProgressSubscription } from './reference-progress-subscription.js'\nimport { TwinReference } from './twin-reference.js'\n\nexport const entities = [TwinReference]\nexport const resolvers = [TwinReferenceResolver, TwinReferenceProgressSubscription, ConnectionPortabilityResolver]\nexport * from './control-routing.js'\n/* 진행 단계 어휘 — **모든 커넥터가 같은 낱말로 말한다.** 화면은 단계마다 번역 하나만 두면 된다. */\nexport * from './reference-progress.js'\n/* 커넥터 점검 하네스 — 실 원본에 붙여 무엇이 채워지고 무엇이 비는지 센다(앱을 띄우지 않는다). */\nexport * from './reference-probe.js'\n/* 놓친 구간을 backfill 해 채우는 길 — 밀어 받는 길과 같은 번호 검사를 지난다. */\nexport * from './reference-fill.js'\nexport * from './connection-portability.js'\n"]}

package/dist-server/service/reference/live-cadence.d.ts

@@ -0,0 +1,68 @@
+import type { WorkCalendarEntry } from '@operato/ops-contract';
+/**
+ * 창의 종류 — **호스트가 채워야 하는 것**만 이름이 있다.
+ *
+ * 지금은 하나다. 늘리기 전에 「호스트가 그것을 계산할 근거를 갖고 있나」를 먼저 물어야 한다 —
+ * 좌표 없이 `daylight` 를 선언하면 호스트가 채울 것이 없고, 그러면 그 축은 창이 없는 것과 같다.
+ */
+export type LiveWindowKind = 'daylight';
+/** 한 축의 시간성 — 어느 사실이 언제·얼마나 자주 오나. */
+export interface LiveCadence {
+    /**
+     * 어느 축인가 — **`OP_EVENT` 의 값 그대로**(`equipment.status` · `quality.output` …).
+     *
+     * 새 낱말을 만들지 않는다. 만들면 커넥터가 부르는 이름과 장부가 세는 이름이 갈리고, 그때
+     * 선언이 조용히 아무 축에도 안 붙는다.
+     */
+    axis: string;
+    /**
+     * 활동 시각 안에서 **이만큼 조용해도 정상**(ms). 없으면 창 하나로 견준다.
+     *
+     * 15분마다 긷는 원천은 이 값을 선언해야 한다 — 안 하면 긷는 사이마다 「유입 없음」으로 보인다.
+     */
+    expectedSilenceMs?: number;
+    /**
+     * 이 축이 **활동하는 창** — 근무 달력 어휘 그대로(요일·시간대·휴일).
+     *
+     * 계약이 이미 그 셋을 표현한다. 새 모양을 만들지 않는 이유는 판정하는 함수가 이미 하나
+     * 있기 때문이다(`inWorkCalendar`) — 두 벌이면 화면과 커널이 다른 답을 낸다.
+     */
+    window?: readonly WorkCalendarEntry[];
+    /**
+     * 창을 **호스트가 채우는 종류** — 좌표·표준으로 계산해야 하는 것.
+     *
+     * `window` 와 함께 선언하면 호스트가 채운 것이 이긴다(계산이 선언보다 그 날에 맞다).
+     */
+    windowKind?: LiveWindowKind;
+    /**
+     * **보내면 온다** — 이 축은 침묵으로 판정하지 않는다(훅·구독).
+     *
+     * 「주기가 없다」와 「모른다」를 가르는 값이다. 훅은 보낼 것이 없으면 안 보내고, 그것이 정상이다.
+     */
+    pushed?: boolean;
+}
+/** 그 축의 선언을 찾는다 — 없으면 `undefined`(옛 거동으로 견준다). */
+export declare function cadenceOf(cadences: readonly LiveCadence[] | undefined, axis: string): LiveCadence | undefined;
+/**
+ * 유입 건강이 이 축을 어떻게 견줄 것인가 — **판정에 넘길 두 값으로 옮긴다.**
+ *
+ * `syncVerdictOf` 가 받는 모양(§`ingest-health.ts`)에 맞춘다. 그 함수는 순수하고 달력을 보지
+ * 않으므로, 창 판정은 여기서 끝내고 참·거짓만 넘긴다 — `capabilityOf` 가 `requiredTests` 를 받는
+ * 것과 같은 규율이다.
+ *
+ * ── 「보내면 온다」는 침묵으로 판정하지 않는다 ──────────────────────────────
+ * `pushed` 면 `quietNow` 를 늘 참으로 낸다. 그러면 침묵이 「유입 없음」이 되지 않는다. **다른
+ * 갈래는 그대로 산다** — 버려지는 중·결선 없음은 몇 시든 문제이고 그것들이 이 값보다 앞선다.
+ *
+ * ── 모르면 아무것도 답하지 않는다 ──────────────────────────────────────────
+ * 선언이 없으면 둘 다 비운다. 그때 판정은 지금까지처럼 창 하나로 견준다 — 「모른다」를 「안 와도
+ * 된다」로 접으면 정말 끊긴 원천이 통째로 조용해진다.
+ */
+export declare function ingestExpectation(cadence: LiveCadence | undefined, ctx: {
+    nowMs: number;
+    utcOffsetMinutes?: number;
+    inWindow?: (window: readonly WorkCalendarEntry[]) => boolean;
+}): {
+    expectedSilenceMs?: number;
+    quietNow?: boolean;
+};