@zalkera/client 0.21.4 → 0.21.5

package/bin/validate-storefront.mjs

@@ -186,6 +186,19 @@ function markUnmeasured(path, code, what) {
  * 한 자리로 모은다.
  */
 function readSafe(file, what) {
+    // ⚠ **심링크를 따라가지 않는다.** 0.21.4 는 파생 경로(`containedPath`)만 봉쇄했는데, 검사기가
+    //   **이름으로 여는 파일** — `AGENTS.md`·`globals.css`·`content/index.ts` 등 — 에는 봉쇄가 없었다.
+    //   테넌트가 그 이름을 임의 절대경로로 심링크하면 서빙 샌드박스에서 존재·가독성·정확한 MB·
+    //   백틱 안 경로형 문자열을 회신으로 되받는다(심의 실측). 여는 자리에도 같은 규칙을 건다.
+    //
+    //   레포 **안**을 가리키는 심링크는 그대로 읽는다(모노레포의 공유 설정 등) — 경계는 이탈이지
+    //   심링크 자체가 아니다.
+    const safe = containedPath(repoRootDir, file);
+    if (safe === null) {
+        markUnmeasured(file, "EXDEV", `${what} — 레포 밖을 가리켜 읽지 않았습니다`);
+        return null;
+    }
+    file = safe;
     try {
         // ⚠ 크기 상한. 이 검사기는 **신뢰 밖 소스**에도 도는데(서빙 샌드박스), 상한이 없으면 import
         //   한 줄로 임의 크기 파일을 읽혀 빌드 박스 메모리를 밀어낼 수 있다 — 실측으로 레포 밖 400MB
@@ -1454,6 +1467,22 @@ function fileExists(path) {
     }
 }
 
+/**
+ * **이름이 있는가** — 심링크를 따라가지 않는다.
+ *
+ * 고정 이름 파일(`AGENTS.md`·`llms.txt`)의 존재를 `statSync` 로 물으면 **심링크 표적**을 따라가고,
+ * 그 표적이 있느냐 없느냐로 회신이 갈린다 — 표적이 신뢰 밖 소스의 통제 아래라 그 차이가 오라클이다.
+ * 이름의 존재만 묻고, 읽을 수 있는지는 `readSafe` 의 봉쇄가 판단하게 둔다(표적과 무관하게 한 줄).
+ */
+function nameExists(path) {
+    try {
+        lstatSync(path);
+        return true;
+    } catch {
+        return false;
+    }
+}
+
 /**
  * D 규칙의 심각도 — 좌표의 실재는 **사실 판정**이라 어느 레포에서도 참이지만, 남의 레포 문서에
  * 에러를 던지지는 않는다(전제 1 "강제할 수 없다"). 우리 계약을 하나라도 선언한 레포에서만 error 다.
@@ -1474,7 +1503,7 @@ function checkDocCoordinates() {
     const sink = docsSink();
 
     const agents = join(repoRoot, "AGENTS.md");
-    if (fileExists(agents)) {
+    if (nameExists(agents)) {
         const agentsText = readSafe(agents, "D1 문서 좌표 검사(AGENTS.md)");
         for (const tok of docPathTokens(agentsText ?? "")) {
             const target = containedPath(repoRoot, tok);
@@ -1500,7 +1529,7 @@ function checkDocCoordinates() {
     if (!isExemplar) return;
 
     const llms = join(repoRoot, "node_modules", "@zalkera", "client", "llms.txt");
-    if (!fileExists(llms)) return; // 미설치 — 없는 것을 센 척하지 않는다.
+    if (!nameExists(llms)) return; // 미설치 — 없는 것을 센 척하지 않는다.
     const llmsText = readSafe(llms, "D2 문서 좌표 검사(llms.txt)");
     for (const tok of docPathTokens(llmsText ?? "", /^src\/(app|components|lib)\//)) {
         const target = containedPath(repoRoot, tok);

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@zalkera/client",
-  "version": "0.21.4",
+  "version": "0.21.5",
   "description": "zalkera 헤드리스 CMS 공개 API 클라이언트 (테넌트 사이트용)",
   "license": "MIT",
   "author": "Credium Co., Ltd.",