careermate 0.0.4 → 0.0.6

package/scripts/init.ts

@@ -80,15 +80,34 @@ function cursorConfigPath(): string {
   return path.join(os.homedir(), '.cursor', 'mcp.json');
 }
 
+/**
+ * Cursor 도구 사전허용 파일(연결용 mcp.json과 별개). Cursor ≥3.6는 `permissions.json`의
+ * `mcpAllowlist`("server:tool")로 특정 MCP 도구를 프롬프트 없이 결정적으로 자동 실행한다.
+ * 전역 mcp.json에 서버를 등록하므로 전역 permissions.json에 맞춰 쓴다(careermate: 네임스페이스로만 한정).
+ */
+function cursorPermissionsPath(): string {
+  return path.join(os.homedir(), '.cursor', 'permissions.json');
+}
+
+/**
+ * 사용자가 init을 실행한 '작업 폴더'. bin/careermate.mjs는 tsx 해석을 위해 자식 cwd를 패키지
+ * 루트로 고정하므로, 원래 폴더를 CAREERMATE_INIT_CWD로 받아 우선한다(없으면 process.cwd()).
+ * Claude Code는 사용자가 실제로 여는 폴더의 .mcp.json·.claude 설정만 읽으므로 이 폴더가 기준이다.
+ */
+function userCwd(): string {
+  const fromBin = process.env.CAREERMATE_INIT_CWD?.trim();
+  return fromBin && fromBin.length > 0 ? fromBin : process.cwd();
+}
+
 /**
  * Claude Code project scope 설정: 사용자가 지금 작업 중인 폴더에 둔다.
  *
  * `npx -y careermate init`은 패키지를 임시 캐시에 풀어 실행하므로 ROOT는 사용자의
  * 프로젝트가 아니라 설치물 위치다. Claude Code는 실제로 열 폴더의 `.mcp.json`만
- * 승인/로드하므로 cwd를 프로젝트 루트로 삼는다.
+ * 승인/로드하므로 사용자의 작업 폴더(userCwd)를 기준으로 한다.
  */
 function claudeCodeConfigPath(): string {
-  return path.join(process.cwd(), '.mcp.json');
+  return path.join(userCwd(), '.mcp.json');
 }
 
 /** Codex CLI 글로벌 설정(CODEX_HOME 우선). */
@@ -228,10 +247,16 @@ function tomlString(s: string): string {
   return JSON.stringify(s);
 }
 
-/** Codex 설정의 careermate 블록(헤더 + command + args). 우리가 형태를 통제하므로 단순하다. */
-function codexBlock(server: ServerEntry): string {
+/**
+ * Codex 설정의 careermate 블록(헤더 + command + args). 우리가 형태를 통제하므로 단순하다.
+ * autoApprove면 `default_tools_approval_mode = "auto"`를 더해 이 서버 도구를 프롬프트 없이 실행한다
+ * (SENSITIVE 도구는 별도 [..tools.<tool>] 서브테이블에서 "prompt"로 되돌린다 — writeCodexToml 참고).
+ */
+function codexBlock(server: ServerEntry, autoApprove: boolean): string {
   const args = server.args.map(tomlString).join(', ');
-  return [`[mcp_servers.${PKG}]`, `command = ${tomlString(server.command)}`, `args = [${args}]`].join('\n');
+  const lines = [`[mcp_servers.${PKG}]`, `command = ${tomlString(server.command)}`, `args = [${args}]`];
+  if (autoApprove) lines.push('default_tools_approval_mode = "auto"');
+  return lines.join('\n');
 }
 
 /**
@@ -265,8 +290,46 @@ function upsertCodexBlock(raw: string, block: string): { next: string; found: bo
   return { next, found: true };
 }
 
-/** Codex CLI: `~/.codex/config.toml` 의 `[mcp_servers.careermate]` 테이블. */
-function writeCodexToml(target: ClientTarget, server: ServerEntry): WriteResult {
+/** 점 표기 TOML 테이블 헤더(`a.b.c`)를 공백 허용 정규식으로(우리가 만든 테이블만 안전 교체). */
+function tomlTableHeaderRe(dotted: string): RegExp {
+  const parts = dotted.split('.').map((p) => p.replace(/[.*+?^${}()|[\]\\]/g, '\\$&'));
+  return new RegExp(`^\\s*\\[\\s*${parts.join('\\s*\\.\\s*')}\\s*\\]\\s*$`);
+}
+
+/**
+ * 이름이 정확한 TOML 테이블 하나를 멱등 삽입/교체한다(`upsertCodexBlock`의 일반화).
+ * 블록 경계는 "다음 `[` 테이블 헤더"까지 → 우리 테이블만 건드리고 사용자의 다른 테이블은 보존.
+ * SENSITIVE 도구의 `[mcp_servers.careermate.tools.<tool>]` 프롬프트 복원 서브테이블에 쓴다.
+ */
+function upsertTomlTable(raw: string, dotted: string, body: string[]): string {
+  const lines = raw.length ? raw.split(/\r?\n/) : [];
+  const headerRe = tomlTableHeaderRe(dotted);
+  const tableRe = /^\s*\[/;
+  const block = [`[${dotted}]`, ...body];
+  const start = lines.findIndex((l) => headerRe.test(l));
+  if (start === -1) {
+    const trimmed = raw.replace(/\s+$/, '');
+    return (trimmed.length ? `${trimmed}\n\n` : '') + `${block.join('\n')}\n`;
+  }
+  let end = lines.length;
+  for (let j = start + 1; j < lines.length; j++) {
+    if (tableRe.test(lines[j])) {
+      end = j;
+      break;
+    }
+  }
+  let next = [...lines.slice(0, start), ...block, ...lines.slice(end)].join('\n');
+  if (!next.endsWith('\n')) next += '\n';
+  return next;
+}
+
+/**
+ * Codex CLI: `~/.codex/config.toml` 의 `[mcp_servers.careermate]` 테이블.
+ * allowTools면 서버 블록에 `default_tools_approval_mode = "auto"`를 넣어 careermate 도구를 자동승인하고,
+ * SENSITIVE 도구만 `[mcp_servers.careermate.tools.<tool>] approval_mode = "prompt"`로 되돌린다
+ * (Claude Code 사전허용과 같은 보안 분리). 전역 approval_policy/sandbox/trust는 건드리지 않는다.
+ */
+function writeCodexToml(target: ClientTarget, server: ServerEntry, allowTools: boolean): WriteResult {
   const existed = fs.existsSync(target.configPath);
   let raw = '';
   if (existed) {
@@ -276,7 +339,13 @@ function writeCodexToml(target: ClientTarget, server: ServerEntry): WriteResult
       raw = '';
     }
   }
-  const { next, found } = upsertCodexBlock(raw, codexBlock(server));
+  const { next: afterBlock, found } = upsertCodexBlock(raw, codexBlock(server, allowTools));
+  let next = afterBlock;
+  if (allowTools) {
+    for (const tool of SENSITIVE_TOOLS) {
+      next = upsertTomlTable(next, `mcp_servers.${PKG}.tools.${tool}`, ['approval_mode = "prompt"']);
+    }
+  }
   const changed = next.trim() !== raw.trim();
 
   let backedUp: string | null = null;
@@ -286,8 +355,157 @@ function writeCodexToml(target: ClientTarget, server: ServerEntry): WriteResult
   return { changed, backedUp, replacedExisting: found && changed };
 }
 
-function writeTarget(target: ClientTarget, server: ServerEntry): WriteResult {
-  return target.format === 'codex-toml' ? writeCodexToml(target, server) : writeMcpJson(target, server);
+function writeTarget(target: ClientTarget, server: ServerEntry, allowTools: boolean): WriteResult {
+  return target.format === 'codex-toml'
+    ? writeCodexToml(target, server, allowTools)
+    : writeMcpJson(target, server);
+}
+
+/**
+ * Claude Code 도구 사전허용 분류.
+ * 첫 사용 마찰의 핵심은 careermate MCP 도구를 처음 부를 때마다 뜨는 승인 프롬프트다. init이 작업
+ * 폴더의 .claude/settings.local.json에 SAFE 도구를 미리 허용하면 그 프롬프트가 사라진다.
+ * 거의 모든 도구는 ~/.careermate 안에서만 읽고 쓰거나 careermate 자신의 폴더·대시보드(127.0.0.1)만
+ * 여는 로컬 동작이라 SAFE다(인박스 폴더·대시보드 열기, 인박스 안 문서 읽기 포함 — 모두 careermate 내부).
+ * SENSITIVE는 정말로 손이 careermate 밖으로 나가거나 되돌릴 수 없는 것들이고, 이것만 확인을 유지한다:
+ *   - read_document    : 사용자가 준 임의 절대경로 파일 읽기(careermate 밖). 인젝션 시 민감 파일 탈취
+ *                        증폭 — packages/parsers의 denylist는 ~/.ssh·.env 등 일부만 막는다.
+ *   - update_careermate: npm install 실행(외부 프로세스·네트워크·공급망 표면).
+ *   - delete_* (cover_letter/job_posting/resume/experience/project/skill) : 되돌릴 수 없는 데이터 삭제.
+ *                        내부 데이터지만 비가역이라 권한 프롬프트(=사용자 본인의 확인)에 가치가 있다
+ *                        (코드의 confirm='DELETE'는 모델 자가확인일 뿐, 사용자 확인이 아니다).
+ * 새 MCP 도구를 추가하면 둘 중 하나로 분류해야 한다(scripts/test-init.ts가 manifest와 대조해 누락을 잡는다).
+ */
+const SENSITIVE_TOOLS: readonly string[] = [
+  'read_document',
+  'update_careermate',
+  'delete_cover_letter',
+  'delete_job_posting',
+  'delete_resume',
+  'delete_experience',
+  'delete_project',
+  'delete_skill',
+];
+
+const SAFE_TOOLS: readonly string[] = [
+  'get_onboarding_status', 'get_profile', 'save_profile', 'add_resume', 'get_resumes',
+  'add_experience', 'get_experiences', 'add_project', 'get_projects', 'add_skill', 'get_skills',
+  'get_cover_letters', 'save_cover_letter_version', 'save_job_posting', 'get_job_posting', 'list_jobs',
+  'get_application_context', 'save_fit_analysis', 'update_application_status', 'save_interview_prep',
+  'export_cover_letter', 'export_resume', 'export_profile', 'list_recent_activity', 'get_workflow_guide', 'get_playbook', 'get_verifier',
+  'validate_cover_letter', 'set_verify_mode', 'get_writing_style_guide', 'check_for_update',
+  // careermate 자신의 인박스 폴더·대시보드(127.0.0.1)만 여는 로컬 동작 + 인박스 내부 문서 읽기 → 사전허용 안전.
+  'read_inbox', 'open_inbox', 'open_dashboard', 'open_application',
+];
+
+/** Claude Code 작업 폴더의 로컬(비공유) 설정 파일. 권한·신뢰는 머신/사용자 로컬 산출물이다. */
+function claudeSettingsLocalPath(): string {
+  return path.join(userCwd(), '.claude', 'settings.local.json');
+}
+
+/**
+ * 작업 폴더가 git repo이거나 이미 .gitignore가 있으면 주어진 경로를 무시 목록에 보장한다(best-effort).
+ * settings.local.json은 머신 로컬 권한이라 공유 대상이 아니므로 실수로 커밋되지 않게 한다.
+ */
+function ensureGitignored(file: string): void {
+  const cwd = userCwd();
+  const gitignorePath = path.join(cwd, '.gitignore');
+  const isRepo = fs.existsSync(path.join(cwd, '.git'));
+  if (!isRepo && !fs.existsSync(gitignorePath)) return;
+  const rel = path.relative(cwd, file).split(path.sep).join('/');
+  let body = '';
+  try {
+    body = fs.existsSync(gitignorePath) ? fs.readFileSync(gitignorePath, 'utf8') : '';
+  } catch {
+    return;
+  }
+  const already = body.split(/\r?\n/).some((l) => {
+    const t = l.trim();
+    return t === rel || t === `/${rel}`;
+  });
+  if (already) return;
+  const prefix = body.length && !body.endsWith('\n') ? '\n' : '';
+  try {
+    fs.appendFileSync(gitignorePath, `${prefix}${rel}\n`, 'utf8');
+  } catch {
+    /* best-effort: 무시 등록 실패해도 설치는 계속 */
+  }
+}
+
+/**
+ * Claude Code 사전허용: 작업 폴더의 .claude/settings.local.json에
+ *   (1) enabledMcpjsonServers: ["careermate"] — 재시작 후 'project 서버 신뢰' 1회 프롬프트 제거
+ *   (2) permissions.allow에 SAFE 도구(mcp__careermate__<tool>) — 데이터 도구 첫 호출 프롬프트 제거
+ * 를 병합 기록한다(기존 키·사용자 설정 보존, 변경 시 타임스탬프 백업). 폴더를 처음 '신뢰'하는
+ * 1회 다이얼로그는 Claude Code가 강제하므로 사라지지 않는다(보안 게이트 유지).
+ */
+function writeClaudeAllowlist(): WriteResult {
+  const file = claudeSettingsLocalPath();
+  const existed = fs.existsSync(file);
+  const json = existed ? readJsonObject(file) : {};
+  const before = JSON.stringify(json);
+
+  // (1) 우리가 방금 쓴 .mcp.json의 careermate 서버를 미리 신뢰(다른 서버는 건드리지 않음).
+  const enabled = Array.isArray(json.enabledMcpjsonServers)
+    ? (json.enabledMcpjsonServers as unknown[]).filter((x): x is string => typeof x === 'string')
+    : [];
+  if (!enabled.includes(PKG)) enabled.push(PKG);
+  json.enabledMcpjsonServers = enabled;
+
+  // (2) SAFE 도구만 사전허용에 추가. 기존 사용자 allow는 보존하고, 어떤 경우에도 SENSITIVE는 추가하지 않는다.
+  const perms =
+    json.permissions && typeof json.permissions === 'object' && !Array.isArray(json.permissions)
+      ? (json.permissions as Record<string, unknown>)
+      : {};
+  const allow = new Set<string>(
+    Array.isArray(perms.allow)
+      ? (perms.allow as unknown[]).filter((x): x is string => typeof x === 'string')
+      : [],
+  );
+  for (const tool of SAFE_TOOLS) {
+    if (SENSITIVE_TOOLS.includes(tool)) continue; // 방어: 분류 실수로 SAFE에 민감 도구가 섞여도 추가하지 않음
+    allow.add(`mcp__${PKG}__${tool}`);
+  }
+  perms.allow = [...allow];
+  json.permissions = perms;
+
+  const changed = JSON.stringify(json) !== before;
+  let backedUp: string | null = null;
+  if (existed && changed) backedUp = backupFile(file);
+  fs.mkdirSync(path.dirname(file), { recursive: true });
+  fs.writeFileSync(file, `${JSON.stringify(json, null, 2)}\n`, 'utf8');
+  ensureGitignored(file);
+  return { changed, backedUp, replacedExisting: false };
+}
+
+/**
+ * Cursor(≥3.6) 도구 사전허용: `~/.cursor/permissions.json`의 `mcpAllowlist`에 SAFE 도구를
+ * "careermate:<tool>"로 병합한다(기존 항목·다른 서버는 보존). SENSITIVE는 어떤 경우에도 넣지 않아
+ * Claude Code와 같은 보안 분리를 유지한다. 구버전 Cursor는 이 파일을 무시할 뿐 해롭지 않다.
+ */
+function writeCursorAllowlist(): WriteResult {
+  const file = cursorPermissionsPath();
+  const existed = fs.existsSync(file);
+  const json = existed ? readJsonObject(file) : {};
+  const before = JSON.stringify(json);
+
+  const list = new Set<string>(
+    Array.isArray(json.mcpAllowlist)
+      ? (json.mcpAllowlist as unknown[]).filter((x): x is string => typeof x === 'string')
+      : [],
+  );
+  for (const tool of SAFE_TOOLS) {
+    if (SENSITIVE_TOOLS.includes(tool)) continue; // 방어: 민감 도구는 절대 자동승인하지 않음
+    list.add(`${PKG}:${tool}`);
+  }
+  json.mcpAllowlist = [...list];
+
+  const changed = JSON.stringify(json) !== before;
+  let backedUp: string | null = null;
+  if (existed && changed) backedUp = backupFile(file);
+  fs.mkdirSync(path.dirname(file), { recursive: true });
+  fs.writeFileSync(file, `${JSON.stringify(json, null, 2)}\n`, 'utf8');
+  return { changed, backedUp, replacedExisting: false };
 }
 
 function flagValue(argv: string[], name: string): string | undefined {
@@ -317,7 +535,11 @@ function printConfigs(server: ServerEntry): void {
   console.log(`  · 또는 명령으로:  ${shellJoin(['claude', 'mcp', 'add', '--scope', 'project', '--transport', 'stdio', PKG, '--', ...cmd])}`);
 
   console.log('\n② Codex CLI — ~/.codex/config.toml 에 추가:');
-  console.log(codexBlock(server));
+  console.log(codexBlock(server, true));
+  console.log('  · default_tools_approval_mode = "auto" 는 careermate 도구를 자동승인합니다(민감/파괴 도구는 아래로 프롬프트 유지).');
+  for (const tool of SENSITIVE_TOOLS) {
+    console.log(`[mcp_servers.${PKG}.tools.${tool}]\napproval_mode = "prompt"`);
+  }
   console.log(`\n  · 또는 명령으로:  ${shellJoin(['codex', 'mcp', 'add', PKG, '--', ...cmd])}`);
 }
 
@@ -326,6 +548,7 @@ function main(): void {
   const useNpx = argv.includes('--npx') || runningUnderNpx();
   const printOnly = argv.includes('--print');
   const forceAll = argv.includes('--all-clients');
+  const skipAllow = argv.includes('--no-allow-tools');
   const which = flagValue(argv, '--client') ?? 'all';
 
   const server = serverEntry(useNpx);
@@ -344,7 +567,8 @@ function main(): void {
   const connectedIds = new Set<string>();
   for (const t of targets) {
     try {
-      const { changed, backedUp, replacedExisting } = writeTarget(t, server);
+      // Codex는 등록과 동시에 도구 사전허용(default auto + SENSITIVE prompt)을 같은 toml에 쓴다.
+      const { changed, backedUp, replacedExisting } = writeTarget(t, server, !skipAllow);
       connected += 1;
       connectedIds.add(t.id);
       console.log(
@@ -365,10 +589,57 @@ function main(): void {
     return;
   }
 
+  // Claude Code: 도구 사전허용을 작업 폴더에 함께 써, 재시작 후 도구별 승인 프롬프트를 없앤다.
+  // (민감/파괴 도구는 SAFE 목록에서 제외돼 그대로 확인을 받는다. --no-allow-tools로 끌 수 있다.)
+  let allowlisted = false;
+  if (connectedIds.has('claude-code') && !skipAllow) {
+    try {
+      const r = writeClaudeAllowlist();
+      allowlisted = true;
+      console.log(
+        `• Claude Code 도구 사전허용 ${r.changed ? '기록됨' : '이미 최신'}: ${claudeSettingsLocalPath()}` +
+          (r.backedUp ? `\n    (기존 설정 백업: ${r.backedUp})` : ''),
+      );
+      console.log('    (커리어 데이터 도구는 미리 허용 — 파일 읽기·업데이트 등 민감한 작업은 그때그때 확인을 받습니다)');
+    } catch (e) {
+      console.log(`• Claude Code 사전허용은 건너뜁니다(설치는 계속): ${e instanceof Error ? e.message : e}`);
+    }
+  }
+
+  // Codex: 사전허용은 위 writeCodexToml(config.toml)에서 이미 처리됨 — 사용자에게만 한 줄 안내.
+  if (connectedIds.has('codex') && !skipAllow) {
+    console.log('• Codex CLI 도구 사전허용 기록됨(config.toml) — 커리어 데이터 도구는 자동승인, 민감/파괴 작업은 확인을 받습니다');
+  }
+
+  // Cursor(≥3.6): 연결용 mcp.json과 별개인 permissions.json에 SAFE 도구만 자동승인 등록.
+  if (connectedIds.has('cursor') && !skipAllow) {
+    try {
+      const r = writeCursorAllowlist();
+      console.log(
+        `• Cursor 도구 사전허용 ${r.changed ? '기록됨' : '이미 최신'}: ${cursorPermissionsPath()}` +
+          (r.backedUp ? `\n    (기존 설정 백업: ${r.backedUp})` : ''),
+      );
+      console.log('    (Cursor 3.6+ 에서 적용 — 커리어 데이터 도구 자동승인, 민감/파괴 작업은 확인. 구버전은 무시됩니다)');
+    } catch (e) {
+      console.log(`• Cursor 사전허용은 건너뜁니다(설치는 계속): ${e instanceof Error ? e.message : e}`);
+    }
+  }
+
+  // Gemini CLI·Antigravity: 도구 사전허용은 의도적으로 건드리지 않는다. 둘 다 per-tool 자동승인이 없고
+  // 서버 단위 trust(전부 자동승인)뿐이라, SENSITIVE(파일읽기·삭제·업데이트)를 함께 자동승인하게 되어
+  // Claude/Codex/Cursor에서 지킨 보안 분리가 깨진다. 안전하게 기본(프롬프트 유지)을 둔다.
+  if ((connectedIds.has('gemini') || connectedIds.has('antigravity')) && !skipAllow) {
+    console.log('• Gemini CLI/Antigravity는 도구별 사전허용이 없어, 첫 도구 사용 때 1회 "허용"만 눌러주세요(보안상 일괄 자동승인은 피했습니다)');
+  }
+
   console.log('\n✅ 거의 끝났습니다. 다음만 해주세요:');
   console.log('  1) 연결한 AI 클라이언트를 완전히 종료했다가 다시 켜기');
   if (connectedIds.has('claude-code')) {
-    console.log('     (Claude Code는 이 명령을 실행한 폴더의 .mcp.json을 처음 띄울 때 1회 "승인"을 물어봅니다 — 승인해 주세요.)');
+    console.log(
+      allowlisted
+        ? '     (Claude Code: 이 폴더를 처음 열 때 "신뢰"만 한 번 확인하면 됩니다 — 커리어 데이터 도구는 미리 허용해 두었습니다.)'
+        : '     (Claude Code는 이 명령을 실행한 폴더의 .mcp.json을 처음 띄울 때 1회 "승인"을 물어봅니다 — 승인해 주세요.)',
+    );
   }
   console.log('  2) AI에게: "get_onboarding_status 호출해서 연결됐는지 확인해줘"');
   console.log('  3) 내 데이터 대시보드 열기:  careermate start');

package/dist/site/analytics.js

@@ -1,97 +0,0 @@
-// =============================================================================
-// CareerMate marketing-site analytics — careermate.life ONLY.
-//
-// SCOPE: this file loads on the PUBLIC marketing/demo site (site/) that
-// Vercel serves. It must NEVER be loaded by the local dashboard (apps/web, bound
-// to 127.0.0.1) — that would break the core promise in AGENTS.md:
-//   "절대 사용자 데이터를 외부로 업로드하지 마라."
-// There is no user career data on this site; only anonymous page/traffic signals.
-//
-// What runs here:
-//   1) Vercel Web Analytics   — cookieless, no PII, no consent banner required.
-//   2) Vercel Speed Insights  — Core Web Vitals, also cookieless.
-//   3) Google Analytics 4     — OPTIONAL. Off until GA_MEASUREMENT_ID is filled in.
-//      Runs under Google Consent Mode v2 with analytics_storage DENIED by default,
-//      i.e. cookieless pings, so it needs no consent banner and stays consistent
-//      with the local-first / privacy-first brand. (Flip consent to 'granted'
-//      later only if you add a real consent UI.)
-//
-// The marketing pages (index.html, start.html) are classic multi-page navigations,
-// so a single pageview on load is enough. The demo (/demo/) is a hash-router SPA,
-// so we emit a virtual pageview on every hashchange — otherwise every sub-route
-// (#/jobs, #/applications, …) would collapse into one "/demo" view.
-// =============================================================================
-(function () {
-  'use strict';
-
-  // ── 1. Vercel Web Analytics (cookieless) ───────────────────────────────────
-  // Queue shim per Vercel's HTML snippet; the injected script drains window.vaq.
-  window.va = window.va || function () { (window.vaq = window.vaq || []).push(arguments); };
-  loadScript('/_vercel/insights/script.js');
-
-  // ── 2. Vercel Speed Insights (cookieless) — OFF by default ──────────────────
-  // Vercel's Hobby plan allows Speed Insights on only ONE project at a time, and it's
-  // more valuable on the real app than on this rarely-changing static site (use the free
-  // PageSpeed Insights for ad-hoc checks here). Flip to true to load it (needs Enable in
-  // the Vercel dashboard too); leaving it false avoids a dead 404 script request.
-  var ENABLE_SPEED_INSIGHTS = false;
-  if (ENABLE_SPEED_INSIGHTS) {
-    window.si = window.si || function () { (window.siq = window.siq || []).push(arguments); };
-    loadScript('/_vercel/speed-insights/script.js');
-  }
-
-  // ── 3. Google Analytics 4 (optional, cookieless via Consent Mode v2) ────────
-  // CareerMate's GA4 measurement ID — a public, client-side identifier (not a secret).
-  // Set to '' to disable GA entirely; the Vercel analytics above still runs.
-  var GA_MEASUREMENT_ID = 'G-HK9KWTYCBD';
-  if (/^G-[A-Z0-9]+$/.test(GA_MEASUREMENT_ID)) initGoogleAnalytics(GA_MEASUREMENT_ID);
-
-  // ── Demo SPA: report hash route changes to Vercel as a custom event ─────────
-  // Vercel's script auto-tracks History API navigations but not hashchange.
-  if (location.pathname.indexOf('/demo') === 0) {
-    window.addEventListener('hashchange', function () {
-      window.va('event', { name: 'demo_route', data: { route: currentRoute() } });
-    });
-  }
-
-  // ── helpers ─────────────────────────────────────────────────────────────────
-  function loadScript(src) {
-    var s = document.createElement('script');
-    s.src = src;
-    s.defer = true;
-    document.head.appendChild(s);
-  }
-
-  function currentRoute() {
-    return (location.hash || '').replace(/^#\/?/, '').split('/')[0] || 'home';
-  }
-
-  function initGoogleAnalytics(id) {
-    window.dataLayer = window.dataLayer || [];
-    function gtag() { window.dataLayer.push(arguments); }
-    window.gtag = gtag;
-    // Deny storage by default → GA runs cookieless. No banner required.
-    gtag('consent', 'default', {
-      ad_storage: 'denied',
-      ad_user_data: 'denied',
-      ad_personalization: 'denied',
-      analytics_storage: 'denied',
-    });
-    gtag('js', new Date());
-    // send_page_view:false so we control pageviews (incl. the demo's hash routes).
-    gtag('config', id, { send_page_view: false, anonymize_ip: true });
-    loadScript('https://www.googletagmanager.com/gtag/js?id=' + id);
-
-    sendGaPageview();
-    window.addEventListener('hashchange', sendGaPageview);
-  }
-
-  function sendGaPageview() {
-    if (!window.gtag) return;
-    window.gtag('event', 'page_view', {
-      page_path: location.pathname + location.search + location.hash,
-      page_location: location.href,
-      page_title: document.title,
-    });
-  }
-})();

package/dist/site/favicon.svg

@@ -1 +0,0 @@
-<svg xmlns="http://www.w3.org/2000/svg" viewBox="0 0 24 24"><rect width="24" height="24" rx="6" fill="#0f7256"/><text x="12" y="17" font-size="14" text-anchor="middle" fill="#fff" font-family="Segoe UI,sans-serif" font-weight="bold">C</text></svg>