@things-factory/headless-twin 10.0.18 → 10.1.0

package/server/service/reference/reference-hook.ts

@@ -42,11 +42,14 @@
  * 경계가 이미 거릅니다(§`FactDeduper`) — 이 파일이 따로 하지 않습니다. 응답에 몇 건이 중복이었는지
  * 함께 알립니다.
  */
-import { getRepository } from '@things-factory/shell'
+import { WEBHOOK_STATUS, type WebhookResponse } from '@operato/ops-contract'
 
-import { TwinReference } from './twin-reference.js'
-import { getAdapter } from './reference-adapter.js'
-import { HOOK_STATUS, producedInstance, secretFromHeaders, secretMatches, type HookOutcome } from './hook-contract.js'
+import { twinWarn } from '../../engine/log.js'
+
+import { getAdapter, type InboundBatch } from './reference-adapter.js'
+import { rejectedForCaller, type RejectedForCaller } from './hook-rejected.js'
+export { rejectedForCaller, type RejectedForCaller } from './hook-rejected.js'
+import { authorizeHook, producedInstance, pushCursorKey, seqOf, takeInSequence, withSeq, type HookOutcome } from './hook-contract.js'
 
 /**
  * 훅 하나를 처리한다 — 찾고 · 확인하고 · 커넥터에게 옮기게 하고 · 유입으로 넘긴다.
@@ -60,16 +63,42 @@ export async function handleHook(args: {
   instanceId: string
   headers: Record<string, unknown>
   body: unknown
-  /** 레코드를 트윈에 넣는다 — 받은 수와 버린 수를 돌려준다. */
-  ingest: (instanceId: string, records: unknown[]) => { applied: number; duplicates: number; rejected: number }
+  /**
+   * 받은 바이트 그대로 — 서명을 확인하려면 이것이 있어야 한다.
+   *
+   * 파싱한 객체를 다시 문자열로 만들면 키 순서와 공백이 달라져 서명이 맞지 않는다. 없으면 서명을 쓰는
+   * 요청은 거절된다(§`authorizeHook`).
+   */
+  rawBody?: string
+  /** 서명 창을 재는 기준 시각. 부르는 쪽이 준다 — 여기서 읽으면 시험이 시계에 매인다. */
+  nowMs?: number
+  /** 레코드를 트윈에 넣는다 — 받은 수와 **떨어진 것들**을 돌려준다. */
+  ingest: (instanceId: string, records: unknown[]) => IngestResult
+  /**
+   * 구멍을 봤다 — **부르는 쪽이 무엇을 할지 정한다.**
+   *
+   * 여기서 backfill 을 직접 부르지 않는다. 이 파일은 `ingest`·`store` 를 인자로 받아 가볍게 유지한다
+   * (그래야 테스트가 엔진 없이 이 판정을 확인할 수 있다). backfill 을 import 하면 그 규율이 깨진다.
+   *
+   * 기다리지 않는 것도 부르는 쪽의 몫이다 — 훅의 응답이 늦으면 보내는 쪽이 되풀이한다.
+   */
+  onGap?: (scope: string) => void
+  /**
+   * 저장소를 대신 쓰는 자리 — **시험이 재기동을 넣을 수 있게.**
+   *
+   * `ingest` 를 부르는 쪽이 넘겨 주는 것과 같은 이유다(위 §). 커서는 재기동을 넘어 살아야 하는데, 한
+   * 프로세스 안에서만 확인하면 「적히나」는 보이지만 「다시 세우면 읽히나」는 안 보인다. 그 둘이 갈린
+   * 결함을 이 저장소가 이미 겪었다.
+   */
+  store: HookStore
 }): Promise<HookOutcome> {
-  const { domainId, source, instanceId, headers, body, ingest } = args
+  const { domainId, source, instanceId, headers, body, rawBody, ingest, onGap } = args
+  const nowMs = args.nowMs ?? Date.now()
+  const { store } = args
 
-  const ref = await getRepository(TwinReference)
-    .findOne({ where: { domain: { id: domainId }, source } })
-    .catch(() => null)
+  const ref = await store.load(domainId, source)
   if (!ref) {
-    return { status: HOOK_STATUS.unknownTarget, body: { ok: false, error: `unknown connection "${source}"` } }
+    return { status: WEBHOOK_STATUS.unknownTarget, body: { ok: false, error: `unknown connection "${source}"` } }
   }
 
   const cfg: any = (ref as any).connectionConfig ?? {}
@@ -77,21 +106,22 @@ export async function handleHook(args: {
   if (!expected) {
     /* 비밀값을 선언하지 않은 연결은 훅을 받지 않는다 — 기본이 거부다. */
     return {
-      status: HOOK_STATUS.badSecret,
+      status: WEBHOOK_STATUS.badSecret,
       body: {
         ok: false,
         error: `connection "${source}" declares no hookSecret — set one in the connection settings before pushing to it`
       }
     }
   }
-  if (!secretMatches(secretFromHeaders(headers), expected)) {
-    return { status: HOOK_STATUS.badSecret, body: { ok: false, error: 'hook secret does not match' } }
+  const auth = authorizeHook({ headers, rawBody, secret: expected, nowMs })
+  if (auth.ok === false) {
+    return { status: WEBHOOK_STATUS.badSecret, body: { ok: false, error: auth.reason } }
   }
 
   const site = producedInstance(ref as any, instanceId)
   if (!site) {
     return {
-      status: HOOK_STATUS.unknownTarget,
+      status: WEBHOOK_STATUS.unknownTarget,
       body: { ok: false, error: `twin "${instanceId}" was not created by connection "${source}"` }
     }
   }
@@ -99,47 +129,340 @@ export async function handleHook(args: {
   const adapter: any = getAdapter(String((ref as any).adapterType ?? ''))
   if (typeof adapter?.handleInbound !== 'function') {
     return {
-      status: HOOK_STATUS.unsupported,
+      status: WEBHOOK_STATUS.unsupported,
       body: { ok: false, error: `connector "${(ref as any).adapterType}" cannot take pushed events (no handleInbound)` }
     }
   }
 
-  let records: unknown[]
+  let batch: InboundBatch
   try {
-    records = adapter.handleInbound(cfg, site, body, headers) ?? []
+    batch = adapter.handleInbound(cfg, site, body, headers)
   } catch (e: any) {
     /* 옮기지 못한 것은 그쪽 모양이 바뀐 것이다 — 다시 보내도 같으므로 재시도를 부르지 않는다. */
-    return { status: HOOK_STATUS.badPayload, body: { ok: false, error: e?.message ?? 'cannot translate the payload' } }
+    return { status: WEBHOOK_STATUS.badPayload, body: { ok: false, error: e?.message ?? 'cannot translate the payload' } }
+  }
+  const items = batch?.items
+  if (!Array.isArray(items)) {
+    return {
+      status: WEBHOOK_STATUS.badPayload,
+      body: { ok: false, error: 'the connector did not return a list of items' }
+    }
+  }
+
+  /*
+   * **번호 확인** — 이 자리가 프레임워크인 이유는 밀어 주는 모든 연결에 같은 규율이라야 하기 때문이다.
+   * 커넥터마다 만들면 한 곳이 빠지고, 빠진 그 연결에서만 사실이 없어진다.
+   *
+   * 판정은 `takeInSequence` 하나가 한다 — **backfill 하는 길도 같은 함수를 지난다.** 여기서 따로 만들면
+   * 두 길이 다른 규칙으로 받고, 한쪽만 고쳐지는 날이 온다.
+   */
+  const scope = typeof batch.scope === 'string' && batch.scope.trim() ? batch.scope.trim() : undefined
+  /* 열쇠에 트윈을 넣는다 — 연결 하나가 트윈 여럿을 만들고 커서는 연결마다 한 행이다. */
+  const key = scope ? pushCursorKey(instanceId, scope) : undefined
+  const taken = takeInSequence({
+    items,
+    scope,
+    lastSeq: key ? seqOf((ref as any).liveCursor, key) : undefined
+  })
+  if (taken.refused) {
+    /* 반쯤 확인한 것을 확인했다고 말하지 않는다. */
+    return { status: WEBHOOK_STATUS.badPayload, body: { ok: false, error: taken.refused } }
   }
-  if (!Array.isArray(records)) {
-    return { status: HOOK_STATUS.badPayload, body: { ok: false, error: 'the connector did not return a list of records' } }
+  const numbered = taken.numbered
+  const gap = taken.gap
+  /*
+   * 첫 봉투가 1번이 아니면 **그 사실을 남긴다.** 커서가 없는 연결에 21번이 오면 커서가 21 로 뛰고,
+   * 그 앞 스무 건은 구멍으로도 안 세어진다. 실제로 plant 에서 그렇게 스무 건이 조용히 사라졌다.
+   *
+   * 손실이라고 말하지 않는다 — 늦게 붙은 트윈은 그 앞을 안 받기로 한 것이다. 수만 말하고 판단은
+   * 사람이 한다.
+   */
+  if (taken.firstUnseenBefore) {
+    twinWarn(
+      `[twin-ingest] "${instanceId}" 의 ${scope ?? '(단위 없음)'} 를 ${taken.advancedSeq} 번부터 받기 시작했습니다 — ` +
+        `그 앞 ${taken.firstUnseenBefore}건은 받은 적이 없습니다. 원본이 오래 돌고 있었으면 정상이고, ` +
+        `보냈는데 못 받은 것이면 그만큼이 빠진 것입니다`
+    )
   }
+  const advanced = taken.advancedSeq !== undefined && key ? { scope: key, seq: taken.advancedSeq } : undefined
+
+  const records = taken.records
+
   if (!records.length) {
-    /* 옮길 것이 없는 것은 오류가 아니다 — 그쪽이 우리와 무관한 것을 보낸 것일 수 있다. */
-    return { status: HOOK_STATUS.ok, body: { ok: true, offered: 0, applied: 0, duplicates: 0, rejected: 0 } }
+    /*
+     * 옮길 것이 없는 것은 오류가 아니다 — 그쪽이 우리와 무관한 것을 보낸 것일 수 있다. 다만 첫 봉투부터
+     * 구멍이면 그것은 받은 것이 없는 것이고, 그 앞부터 달라고 해야 한다.
+     */
+    if (gap) {
+      if (scope) onGap?.(scope)
+      return gapOutcome(scope, gap)
+    }
+    if (advanced) await saveSeq(store, ref as any, advanced.scope, advanced.seq, taken.firstSeq)
+    return {
+      status: WEBHOOK_STATUS.ok,
+      body: {
+        ok: true,
+        offered: 0,
+        applied: 0,
+        duplicates: 0,
+        vocabulary: 0,
+        rejected: [],
+        ...seqBody(scope, advanced, numbered, taken.firstUnseenBefore)
+      }
+    }
   }
 
-  let result: { applied: number; duplicates: number; rejected: number }
+  let result: IngestResult
   try {
     result = ingest(instanceId, records)
   } catch (e: any) {
-    return { status: HOOK_STATUS.failed, body: { ok: false, error: e?.message ?? 'ingest failed' } }
+    return { status: WEBHOOK_STATUS.failed, body: { ok: false, error: e?.message ?? 'ingest failed' } }
   }
+  const rejected = result.rejected ?? []
+  /*
+   * ── 떨어진 것에 **봉투 id** 를 붙인다 (2026-09-07 측정) ──────────────────────
+   * 이 응답이 `{ record, errors }` 목록이었고, plant 은 그것을 **봉투 id 문자열 목록**으로 읽고
+   * 있었다. `Array.isArray` 는 통과하므로 그쪽 guard 도 안 걸렸다 — id 를 맞추는데 객체라 하나도
+   * 안 맞고 **묶음 전체가 「보냈음」으로 찍혔다.**
+   *
+   * 422 와 `ok: false` 를 보냈는데 그쪽 행은 재시도 0 · 오류 없음 · 보냈음이었다. 우리가 말했는데
+   * 상대가 못 알아듣는 모양이면, 말한 것이 아니다.
+   *
+   * 그래서 봉투 id 를 함께 싣는다. 보내는 쪽이 자기 행을 표시할 수 있고 까닭도 남는다.
+   *
+   * **id 를 못 찾으면 레코드를 그대로 싣는다.** 그때는 무엇이 떨어졌는지 알 방법이 그것뿐이고,
+   * 빈 id 를 실으면 보내는 쪽이 아무 행도 못 찾으면서 「알았다」고 여긴다.
+   *
+   * 짝은 **객체 동일성**으로 짓는다. `records` 는 `items` 의 순서와 원소를 그대로 들고 있고
+   * (§`takeInSequence`), 그래서 커넥터를 고치지 않고도 봉투로 되짚을 수 있다. 값으로 비교하면
+   * 같은 모양의 레코드 둘이 서로의 id 를 가져간다.
+   */
+  const forCaller = rejectedForCaller(rejected, items as { record?: unknown; eventId?: unknown }[])
 
-  if (result.applied === 0 && result.duplicates === 0 && records.length > 0 && result.rejected === 0) {
+  if (result.applied === 0 && result.duplicates === 0 && rejected.length === 0 && !result.vocabulary) {
     /*
      * 넣었는데 한 건도 반영되지 않았고 중복도 거부도 아니면, 그 트윈이 실시간으로 돌지 않는 것이다.
-     * 200 을 주면 그쪽은 전달된 줄 알고 그 사실을 버린다. 그래서 재시도로 풀리지 않는다는 것을 코드로
-     * 말한다 — 사람이 트윈을 띄워야 한다.
+     * 200 을 주면 그쪽은 전달된 줄 알고 그 사실을 버린다.
+     *
+     * **커서를 올리지 않는다.** 한 건도 안 들어갔는데 번호를 올리면 그 번호는 다시 오지 않고, 트윈이
+     * 뜬 뒤에 그 구간이 비어 있게 된다.
+     *
+     * ── Vocabulary is why this test needs a fourth term (2026-09-07) ──────────
+     * This inference reads an absence as a cause, and one absence is legitimate: a batch that was
+     * entirely vocabulary applies no events, has no duplicates and rejects nothing, and yet
+     * everything in it landed (§`applyMasterData`). Without the last term the receiver answers
+     * 503 to correct traffic, and the sender then holds those facts and retries every thirty
+     * seconds for as long as they keep arriving — the reply invents a reason ("not running live")
+     * that the numbers do not support.
+     *
+     * Found by a test written for the response sum, not by reading this line.
+     *
+     * ── Why this branch has to say something out loud ─────────────────────────
+     * Measured today: a 503 from here leaves **no trace on either side.** The sender maps it to
+     * backpressure and returns without touching `attempts` or `lastError`, and this branch logged
+     * nothing, so a sender re-offering the same batch every thirty seconds is invisible to both.
+     *
+     * That is also why "it has not happened" could not be established: `attempts 0` on the seven
+     * vocabulary envelopes was offered as evidence and is not evidence, because this path never
+     * increments that counter. Telling a sender to come back forever is worth one line.
+     */
+    twinWarn(
+      `[twin-hook] "${instanceId}" 에 ${records.length}건이 왔는데 한 건도 앉지 않아 ` +
+        `${NOT_LIVE_RETRY_MS / 1000}초 뒤 다시 오라고 답했습니다 — 트윈이 실시간으로 돌지 않는 것으로 봅니다. ` +
+        `보내는 쪽은 이 답에 재시도 횟수를 남기지 않으므로, 되풀이되면 이 줄만 늘어납니다`
+    )
+
+    return {
+      status: WEBHOOK_STATUS.notLive,
+      body: {
+        ok: false,
+        error: `twin "${instanceId}" is not running live — nothing was applied`,
+        offered: records.length,
+        retryAfterMs: NOT_LIVE_RETRY_MS
+      }
+    }
+  }
+
+  if (advanced) await saveSeq(store, ref as any, advanced.scope, advanced.seq, taken.firstSeq)
+
+  /*
+   * **구멍이 있으면 그것이 답을 정한다.** 앞의 것은 이미 들어갔으므로 `lastSeq` 까지는 보냄으로 표시하게
+   * 하고, 떨어진 것이 있으면 그것도 함께 싣는다 — 두 소식이 한 응답에 들어가야 보내는 쪽이 둘 다 한다.
+   */
+  if (gap) {
+    if (scope) onGap?.(scope)
+    return gapOutcome(scope, gap, forCaller, advanced)
+  }
+
+  if (rejected.length) {
+    /*
+     * **다시 보내라고 하지 않는다.** 떨어진 것은 모양이 틀린 것이라 같은 것을 다시 보내도 또 떨어지고,
+     * 함께 간 나머지는 이미 들어갔으므로 두 번 들어간다.
      */
     return {
-      status: HOOK_STATUS.notLive,
-      body: { ok: false, error: `twin "${instanceId}" is not running live — nothing was applied`, offered: records.length }
+      status: WEBHOOK_STATUS.partial,
+      body: {
+        ok: false,
+        error: `${rejected.length} of ${records.length} records did not pass validation`,
+        offered: records.length,
+        applied: result.applied,
+        duplicates: result.duplicates,
+        vocabulary: result.vocabulary ?? 0,
+        rejected: forCaller,
+        ...seqBody(scope, advanced, numbered, taken.firstUnseenBefore)
+      }
+    }
+  }
+
+  return {
+    status: WEBHOOK_STATUS.ok,
+    body: {
+      ok: true,
+      offered: records.length,
+      applied: result.applied,
+      duplicates: result.duplicates,
+      /*
+       * Always reported, even as zero — the sender's sum has a term for it either way, and a field
+       * that appears only sometimes makes an absent one indistinguishable from a receiver that
+       * does not count vocabulary at all.
+       */
+      vocabulary: result.vocabulary ?? 0,
+      rejected: [],
+      ...seqBody(scope, advanced, numbered, taken.firstUnseenBefore)
+    }
+  }
+}
+
+/**
+ * 유입이 돌려주는 것.
+ *
+ * 떨어진 것을 **수가 아니라 목록으로** 받는다. 수만 받으면 보내는 쪽에 「몇 건이 떨어졌다」밖에 말할 수
+ * 없고, 그러면 무엇을 따로 두어야 할지 알 수 없어 배치 전체를 다시 보내거나 전부 버린다.
+ */
+export interface IngestResult {
+  applied: number
+  duplicates: number
+  rejected: { record: unknown; errors: string[] }[]
+  /**
+   * How many records were vocabulary rather than events — **needed so the reply's sum closes.**
+   *
+   * `liveIngest` has counted this all along and this boundary dropped it, because the callback was
+   * typed as `IngestResult` and vocabulary was not on it. So `offered` counted those records and
+   * none of the other three did, and a sender checking the sum would have seen a loss on ordinary
+   * traffic (§`WebhookResponse.offered`).
+   *
+   * Optional because an ingest that handles no vocabulary need not say zero, and a caller that
+   * simply does not know must not be made to claim none.
+   */
+  vocabulary?: number
+}
+
+/**
+ * 구멍을 알리는 응답 — **앞의 것은 받았다는 것을 함께 말한다.**
+ *
+ * `lastSeq` 를 빼면 보내는 쪽은 이미 들어간 것까지 다시 보내고, 그것이 매번 중복으로 걸러지면서
+ * 처리량만 먹는다.
+ */
+/*
+ * 구멍을 본 자리에서 **바로 받는다** — 번호가 비었다는 것을 아는 가장 이른 순간이다.
+ *
+ * 기다리지 않는다. 훅의 응답이 이것 때문에 늦으면 보내는 쪽이 되풀이하고, 그러면 같은 봉투가 두 번
+ * 온다. 그리고 같은 단위를 1분 안에 두 번 부르지 않는다(§`FILL_DEBOUNCE_MS`) — 밀어 받는 쪽이
+ * 구멍 뒤의 봉투를 계속 보내면 그때마다 구멍 판정이 나기 때문이다.
+ */
+function gapOutcome(
+  scope: string | undefined,
+  gap: { expectedSeq: number; lastSeq: number },
+  /*
+   * 떨어진 것 — 봉투 id 를 알면 그것을, 모르면 레코드를 싣는다(§`InboundItem.eventId`).
+   * 보내는 쪽이 자기 행을 찾을 수 있어야 하고, 못 찾으면 무엇이 떨어졌는지라도 보여야 한다.
+   */
+  rejected: RejectedForCaller[] = [],
+  advanced?: { scope: string; seq: number }
+): HookOutcome {
+  return {
+    status: WEBHOOK_STATUS.sequenceGap,
+    body: {
+      ok: false,
+      error: 'sequence gap',
+      scope,
+      expectedSeq: gap.expectedSeq,
+      lastSeq: advanced?.seq ?? gap.lastSeq,
+      ...(rejected.length ? { rejected } : {})
     }
   }
+}
 
+/**
+ * 트윈이 안 돌 때 얼마나 쉬라고 할 것인가.
+ *
+ * 사람이 트윈을 띄워야 풀리므로 초 단위로 다시 두드릴 이유가 없다. 그렇다고 길게 잡으면 트윈이 뜬 뒤
+ * 그만큼 늦게 이어진다.
+ */
+const NOT_LIVE_RETRY_MS = 30_000
+
+/**
+ * 응답에 번호를 어떻게 적나 — **확인한 것과 확인하지 않은 것을 구별한다.**
+ *
+ * 번호를 매기지 않는 원본은 확인할 것이 없다. 그것을 응답에서 「이상 없다」와 같아 보이게 두면, 어느
+ * 연결이 연속성을 지키고 있는지 아무도 알 수 없다.
+ */
+/*
+ * The return type is the contract's, narrowed to the fields this function fills.
+ *
+ * It was `Record<string, unknown>`, and because the result is **spread** into the reply, an index
+ * signature slips past the excess-property check entirely — the four fields below were unverified
+ * even after `HookOutcome.body` was typed. Naming them here is what makes the check reach them.
+ */
+function seqBody(
+  scope: string | undefined,
+  advanced: { scope: string; seq: number } | undefined,
+  numbered: boolean,
+  firstUnseenBefore?: number
+): Pick<WebhookResponse, 'sequenceChecked' | 'scope' | 'lastSeq' | 'firstUnseenBefore'> {
+  if (!numbered) return { sequenceChecked: false }
   return {
-    status: HOOK_STATUS.ok,
-    body: { ok: true, offered: records.length, applied: result.applied, duplicates: result.duplicates, rejected: result.rejected }
+    sequenceChecked: true,
+    scope,
+    lastSeq: advanced?.seq,
+    /*
+     * 첫 봉투였고 그 앞을 못 봤으면 **그 수를 보내는 쪽에 돌려준다.** 안 돌려주면 그 사실이 아무 데도
+     * 안 남는다 — 구멍으로도 안 세어지고 backfill 대상도 아니다(backfill 은 커서부터 묻는다).
+     */
+    ...(firstUnseenBefore ? { firstUnseenBefore } : {})
   }
 }
+
+/**
+ * 커서에 번호를 적는다 — **반영한 뒤에만.**
+ *
+ * 넣기 전에 올리면, 넣다가 실패했을 때 그 번호는 다시 오지 않는다. 보내는 쪽은 200 을 못 받았으니 다시
+ * 보내겠지만, 그때는 커서가 이미 지나가 있어 `behind` 로 읽히고 버려진다.
+ *
+ * 적지 못하는 것은 사실 유입을 무르는 이유가 아니다 — 이미 들어간 사실은 그대로 두고, 다음 번호가 오면
+ * `gap` 으로 드러난다. 그래서 실패를 던지지 않고 남긴다.
+ */
+async function saveSeq(
+  store: HookStore,
+  ref: { id: string; liveCursor?: unknown },
+  scope: string,
+  seq: number,
+  firstSeq?: number
+): Promise<void> {
+  const next = withSeq(ref.liveCursor, scope, seq, firstSeq)
+  ref.liveCursor = next
+  await store
+    .saveCursor(ref.id, next)
+    .catch(err => twinWarn(`[twin-hook] 번호를 커서에 적지 못했다 (${scope}=${seq}) — ${err?.message ?? err}`))
+}
+
+/**
+ * 훅이 저장소에 닿는 두 자리 — 연결을 찾는 것과 커서를 적는 것.
+ *
+ * 이 둘만 밖으로 낸다. 나머지는 인자만 보고 답하므로 시험이 데이터베이스를 세우지 않아도 된다.
+ */
+export interface HookStore {
+  load(domainId: string, source: string): Promise<any | null>
+  saveCursor(refId: string, cursor: unknown): Promise<void>
+}
+

package/server/service/reference/reference-link-groups.ts

@@ -0,0 +1,21 @@
+/*
+ * 원본이 준 관계 그룹 중 화면에 낼 수 있는 것만 남기는 판정.
+ *
+ * 조회 코드(`reference-links.ts`)와 나누어 둔다. 그쪽은 TypeORM 엔티티를 물어서 테스트 프로세스가
+ * 적재할 수 없다. 판정만 따로 두면 테스트가 가벼운 import 로 확인할 수 있다.
+ */
+import type { ExternalIncoming } from '../twin-model/external-resolver.js'
+
+/**
+ * 이름(`via`)이 없으면 화면에 이름 없는 줄이 된다. `total` 이 0 이면 낼 내용이 없다 — 원본이 그
+ * 축을 취급하지 않는다는 뜻이고, 트윈이 선언한 관계가 비어 있는 것과 다르다. 후자는 그대로
+ * 표시한다(`twin-model-item-query.ts`).
+ *
+ * `total` 이 없는 그룹도 버린다. 목록만 보내고 전체 수를 빼면 화면이 목록 길이를 전체 수로 쓰게
+ * 되고, 원본이 20개만 보낸 날 실제 200건이 20건으로 표시된다.
+ */
+export function usableLinkGroups(groups: ExternalIncoming[] | undefined | null): ExternalIncoming[] {
+  return (groups ?? []).filter(
+    g => !!g && typeof g.via === 'string' && !!g.via.trim() && typeof g.total === 'number' && g.total > 0
+  )
+}

package/server/service/reference/reference-links.ts

@@ -0,0 +1,77 @@
+/*
+ * **원본에만 있는 관계를 조회해서 트윈 상세 화면에 붙인다.**
+ *
+ * ── 무엇을 해결하나 ────────────────────────────────────────────────────────
+ * 설비 상세 화면에서 사람이 실제로 묻는 것은 「이 설비로 무엇을 얼마나 만들었나」, 「지금 정비
+ * 중인가」, 「예정된 정비가 있나」다. 그 정보는 트윈에 없고 MES 에 있다.
+ *
+ * 트윈으로 복제하면 원본의 테이블을 전부 미러링하게 됩니다. 조회용 참조는 복제하지 않고 필요할 때
+ * 물어보는 것이 맞습니다.
+ *
+ * ── 왜 프로세스가 나뉘어 있는가 ────────────────────────────────────────────
+ * 측정 결과입니다(2026-09-06).
+ *
+ *   operato-plant   포트 4000   자기 DB
+ *   operato-twin    포트 3000   자기 DB
+ *
+ * 별개 프로세스이므로 plant 안에서 `registerExternalResolver` 를 불러도 twin 프로세스에는 등록되지
+ * 않습니다. 그래서 resolver 는 twin 안에 있고, 본체는 어댑터를 통해 원본에 HTTP 로 물어봅니다.
+ *
+ * 주소와 인증은 이미 연결 설정(`TwinReference.connectionConfig`)에 있습니다. 새로 만들 것이 없습니다.
+ *
+ * ── 왜 부팅에 한 번만 등록하나 ──────────────────────────────────────────────
+ * 연결은 나중에 추가될 수 있습니다. 연결마다 resolver 를 등록하면 새 연결이 생길 때 재기동해야
+ * 합니다. resolver 하나가 호출될 때 연결을 조회하므로 재기동이 필요 없습니다.
+ */
+import { getRepository } from '@things-factory/shell'
+
+import { TwinInstance } from '../twin-instance/twin-instance.js'
+import { TwinReference } from './twin-reference.js'
+import { getAdapter, type SiteDescriptor } from './reference-adapter.js'
+import { registerExternalResolver, type ExternalIncoming } from '../twin-model/external-resolver.js'
+import { usableLinkGroups } from './reference-link-groups.js'
+
+/**
+ * 이 트윈의 원본에 관계를 물어본다.
+ *
+ * 물어볼 수 없는 경우가 여럿이고 **전부 빈 배열입니다** — 원본을 모르는 트윈, 등록되지 않은 어댑터,
+ * `fetchLinks` 를 구현하지 않은 어댑터. 이 셋은 결함이 아닙니다. 가상 원본과 시뮬레이터는 조회할
+ * 관계가 없습니다.
+ *
+ * 실패는 다릅니다 — 예외를 그대로 올립니다. 호출하는 쪽(`externalIncoming`)이 잡아서 경고를 남기고
+ * 나머지 관계는 그대로 표시합니다.
+ */
+export async function fetchReferenceLinks(
+  domainId: string,
+  instanceId: string,
+  axis: string,
+  itemId: string
+): Promise<ExternalIncoming[]> {
+  const ref = await getRepository(TwinReference).findOne({ where: { domain: { id: domainId }, source: instanceId } })
+  if (!ref) return []
+
+  const adapter = getAdapter(ref.adapterType)
+  if (!adapter?.fetchLinks) return []
+
+  /*
+   * 사이트를 함께 넘깁니다 — 원본 하나가 여러 사이트를 낼 수 있습니다(`discoverSites`). 이 트윈이
+   * 어느 사이트에서 왔는지는 `origin.siteId` 에 있고, 없으면 넘기지 않습니다.
+   */
+  const inst = await getRepository(TwinInstance).findOne({ where: { domain: { id: domainId }, instanceId } })
+  const siteId = (inst?.origin as any)?.siteId
+  const site: SiteDescriptor | undefined = siteId ? { siteId } : undefined
+
+  return usableLinkGroups(await adapter.fetchLinks(ref.connectionConfig ?? {}, site, axis, itemId))
+}
+
+/** 부팅에서 한 번 등록한다. */
+export function installReferenceLinkResolver(): void {
+  registerExternalResolver({
+    /*
+     * `entity` 는 계약의 `target.entity` 와 맞추는 값입니다. 이 resolver 는 들어오는 관계만 답하고
+     * 특정 관계에 붙지 않으므로, 계약에 없는 이름을 씁니다.
+     */
+    entity: 'reference.links',
+    incoming: (domainId, instanceId, axis, itemId) => fetchReferenceLinks(domainId, instanceId, axis, itemId)
+  })
+}

package/server/service/reference/reference-live.ts

@@ -2,6 +2,11 @@ import { twinLog, twinWarn, twinError } from '../../engine/log.js'
 import { getRepository } from '@things-factory/shell'
 
 import { getAdapter, type ConnectionConfig, type LiveFeedContinuity, type ObservedItemFact, type SiteDescriptor } from './reference-adapter.js'
+/* 이름 짓는 규칙은 가벼운 파일에 있다 — 테스트가 붙게(§`live-feed-lease.ts`). */
+import { liveFeedLeaseName } from './live-feed-lease.js'
+export { liveFeedLeaseName } from './live-feed-lease.js'
+import { databaseCommandStore } from '../actuation/command-store.js'
+import { settleEffects } from '../actuation/settle-effects.js'
 import { TwinEngine, ingestCanonicalRecords, registerLiveFeedProbe } from '../../engine/index.js'
 import { type CanonicalRecord } from '@operato/ops-contract'
 import { TwinInstance } from '../twin-instance/twin-instance.js'
@@ -58,10 +63,20 @@ export async function startReferenceLiveFeed(
    * 동작한다. 그리고 커널이 이미 갈라 두었다: 「원천이 애초에 다시 말해 주지 않는 축」은 재기동
    * 연속성으로 이어받는다(§`hydrateContinuity`) — 읽기 커서가 정확히 그 성질이다.
    *
-   * 없으면 `undefined` 를 건넨다 — 그것이 「첫 붙음」이라는 사실이고, 그때만 어댑터가 되돌아볼 날수로
-   * 첫 창을 만든다. 빈 객체로 메우지 않는다(그러면 첫 붙음과 이어 붙음이 같아진다).
+   * The object itself is handed over even on a first attach, because the feed needs its lease name
+   * before it has read anything. `cursor` staying absent is what says "first attach" — which is how
+   * every connector already reads it (`continuity?.cursor`), so nothing changes for them. What is
+   * never filled in with an empty value is the cursor: an empty one would make a first attach look
+   * like a resumed one, and the adapter would build no look-back window.
+   */
+  const carried = await loadLiveCursor(domainId, instanceId, source)
+  const continuity: LiveFeedContinuity = { ...carried, leaseName: liveFeedLeaseName(domainId, instanceId, source) }
+  /*
+   * The lease name is composed here, not in the adapter, because it has to be unique across
+   * domains and an adapter is handed neither `domainId` nor `instanceId` (§`LiveFeedContinuity`).
+   * Built from `source` rather than `site.siteId`: one reference is one connection to one system,
+   * and that is the thing a second instance must not open twice.
    */
-  const continuity = await loadLiveCursor(domainId, instanceId, source)
   /*
    * ── **트윈이 아는 것을 함께 건넨다** (2026-08-28) ───────────────────────────
    *
@@ -71,7 +86,7 @@ export async function startReferenceLiveFeed(
    * 트윈은 저장본에서 되세우므로 잃지 않았다. 그래서 그 사실을 건네면 첫 주기부터 바뀐 것만 나간다.
    * 커널 어휘로 건넨다 — 원본 낱말로 되돌리는 일은 여러 낱말이 한 값으로 모여 불가능하고, 필요도 없다.
    */
-  if (continuity) continuity.observedItems = observedItemsOf(domainId, instanceId)
+  continuity.observedItems = observedItemsOf(domainId, instanceId)
   const unsubscribe = adapter.openLiveFeed(cfg, site, (records: unknown[]) => {
     if (!TwinEngine.owns(domainId, instanceId)) {
       stopReferenceLiveFeed(instanceId) // 인스턴스 사라지면 자가 정지(안전망)
@@ -106,6 +121,12 @@ export async function startReferenceLiveFeed(
      */
     /* 어떤 길로 들어왔는지 함께 적는다 — 화면이 「이 트윈은 무엇을 통해 받나」를 말할 수 있게. */
     const applied = accepted.length ? TwinEngine.ingestLive(domainId, instanceId, accepted, 'connector') : 0
+
+    /*
+     * **나간 지시와 잇는다** — 폐루프. 훅과 같은 자리다(§`routes.ts`). 기다리지 않는다: 라이브 묶음
+     * 처리가 이것 때문에 늦으면 뒤의 묶음이 밀리고, 밀린 것이 크래시로 이어진 적이 있다.
+     */
+    void settleEffects({ domainId, envelopes: accepted, store: databaseCommandStore() })
     const undelivered = accepted.length - applied
     /*
      * **거부한 것을 알리지 않고 버리지 않는다.** 예전에는 `rejected` 를 받지도 않았다 — 커넥터의 매핑이
@@ -173,7 +194,11 @@ async function loadLiveCursor(
   /** 읽기 실패를 적을 트윈 — 커서는 레퍼런스의 것이지만 **건강은 인스턴스의 것**이다(한 레퍼런스가 여럿을 낳는다). */
   instanceId: string,
   source?: string
-): Promise<LiveFeedContinuity | undefined> {
+  /*
+   * `leaseName` is not this function's to know — it is composed from the domain and instance by the
+   * caller. Returning the rest keeps that rule in one place instead of two.
+   */
+): Promise<Omit<LiveFeedContinuity, 'leaseName'> | undefined> {
   if (!source) {
     /* 원본을 가리킬 수 없으면 저장할 자리도 없다 — 그 사실을 말한다(알리지 않고 커서 없이 돌지 않게). */
     twinWarn('[twin-live] live cursor not carried — the caller did not say which reference this feed reads from')