careermate 0.1.0 → 0.1.1

package/README.md

@@ -55,11 +55,11 @@
   ```bash
   node --version
   ```
-  `v22.5.0` 미만이거나 명령을 찾지 못하면 https://nodejs.org 에서 최신 LTS를 설치하세요.
+  `v22.5.0` 미만이거나 명령을 찾지 못하면 설치하세요 — Windows: `winget install OpenJS.NodeJS.LTS`, macOS: `brew install node`, 그 외: https://nodejs.org 에서 최신 LTS.
 
 ### 1) 설치
 
-빌드 단계가 없습니다. TypeScript는 `tsx`로 바로 실행됩니다.
+빌드 단계가 없습니다. TypeScript는 `tsx`로 바로 실행됩니다. (소스를 직접 받으려면 `git clone https://github.com/osntak/CareerMate.git` — 현재 **비공개 저장소**라 접근 권한이 필요하며, 권한이 없으면 클론 없이 `npx -y careermate init`을 쓰세요.)
 
 ```bash
 npm install
@@ -91,9 +91,11 @@ v1에서 권장하는 연결 방식은 셋입니다. 아래 순서대로 골라
 
 #### ① Claude Desktop 연결 (.mcpb 원클릭)
 
-터미널·Node 없이 가장 간단하게 붙이는 **하나의 연결 방법**입니다. `dist/careermate.mcpb`(`npm run build:mcpb`로 생성)를 더블클릭하거나 Claude Desktop의 **Settings → Extensions**로 끌어다 놓고, Claude Desktop을 재시작합니다.
+터미널·Node 없이 가장 간단하게 붙이는 **하나의 연결 방법**입니다. `dist/careermate.mcpb`(`npm run build:mcpb`로 생성)를 Claude Desktop의 **Settings → Extensions → Advanced settings → Install extension…** 에서 선택해 추가하고, Claude Desktop을 재시작합니다. (더블클릭·드래그는 Windows에서 파일 연결이 안 잡혀 반응이 없을 수 있습니다.)
 
-#### ② Claude Code
+#### ② Claude Code (CLI 또는 Claude Desktop의 **Code 탭**)
+
+터미널이 부담스러우면 **Claude 데스크톱 앱의 "Code" 탭**(앱 안의 Claude Code, 통합 터미널 내장)이 비개발자에게 가장 매끄럽습니다 — 작업 폴더 하나를 잡고 데이터까지 그 안에 두는 방식입니다. 자세한 건 [`docs/SUPPORTED_AI_APPS.md`](docs/SUPPORTED_AI_APPS.md)(또는 사람용 안내 https://careermate.life). (Pro 이상 구독 필요, Windows는 Git 사전 설치.)
 
 CareerMate 폴더에서 Claude Code를 실행한 뒤, 이렇게 시켜 주세요.
 
@@ -115,7 +117,7 @@ Codex가 `~/.codex/config.toml`에 MCP 서버를 등록합니다. 연결은 Code
 
 > **기타 MCP 클라이언트(Cursor 등)** — Cursor·Cline·Windsurf 같은 로컬 stdio MCP 클라이언트는 `npm run init`(또는 `npm run init -- --print`)으로 등록할 수 있습니다.
 
-연결 후 AI 클라이언트를 **완전히 재시작**하고, `get_onboarding_status`를 호출해 달라고 시켜 연결을 검증하세요. 자세한 절차는 AI용 런북 **[`INSTALL.md`](INSTALL.md)**와 사람용 설치 가이드 **[`docs/INSTALL_AND_USAGE.md`](docs/INSTALL_AND_USAGE.md)**를 참고하세요.
+연결 후 AI 클라이언트를 **완전히 재시작**하고, `get_onboarding_status`를 호출해 달라고 시켜 연결을 검증하세요. 자세한 절차는 AI용 런북 **[`INSTALL.md`](INSTALL.md)**, 사람용 설치 안내 **https://careermate.life**, 설치 후 사용법 **[`docs/START_WORKFLOW.md`](docs/START_WORKFLOW.md)**를 참고하세요.
 
 > **가장 간단한 길 — npx:** `careermate`가 npm에 게시되어 클론 없이 `npx -y careermate init` 한 줄로 등록됩니다. 소스 폴더에서 작업 중이면 `npm install` 후 `npm run init`을 써도 됩니다.
 
@@ -195,6 +197,8 @@ CareerMate/
 | `npm run migrate` | DB 생성/업그레이드 |
 | `npm run doctor` | 설치/환경 점검 |
 | `npm run seed` | 예시 데이터 삽입 |
+| `npm run build` | 배포용 플레인 JS 번들(`dist/`) 생성 (esbuild) |
+| `npm run build:mcpb` | Claude Desktop용 `.mcpb` 번들 빌드 → `dist/careermate.mcpb`(+ `install-page/`로 복사). manifest+서버코드를 한 파일로 묶어 배포(careermate.life에 호스팅). |
 | `npm test` | E2E 테스트 실행 |
 | `npm run test:ui` | Playwright UI 스모크 테스트 |
 | `npm run typecheck` | 타입 검사 (`tsc --noEmit`) |
@@ -232,8 +236,7 @@ CareerMate/
 
 - [`INSTALL.md`](INSTALL.md) — AI 어시스턴트가 따라가는 설치·연결 런북(소스 직접 실행 기준).
 - [`AGENTS.md`](AGENTS.md) — Codex용 영속 지침. / [`CLAUDE.md`](CLAUDE.md) — Claude Code용 영속 지침.
-- [`docs/SUPPORTED_AI_APPS.md`](docs/SUPPORTED_AI_APPS.md) — 지원하는 AI 앱과 연결 방식 정리.
-- [`docs/INSTALL_AND_USAGE.md`](docs/INSTALL_AND_USAGE.md) — 사람용 두 트랙 설치(.mcpb 원클릭 / 터미널)와 설치 후 사용법.
+- [`docs/SUPPORTED_AI_APPS.md`](docs/SUPPORTED_AI_APPS.md) — **설치 레퍼런스 허브**: 지원 앱 매트릭스 + 설치 3방식(에이전트/npx/.mcpb) + 클라이언트별 수동 MCP 설정 + 알려진 제약. (사람용 안내는 https://careermate.life)
 - [`docs/START_WORKFLOW.md`](docs/START_WORKFLOW.md) — 등록부터 면접 준비까지 단계별 작업 런북.
 - [`docs/TODO.md`](docs/TODO.md) — 남은 작업과 v1 범위 밖 항목.
 

package/apps/mcp/src/index.ts

@@ -13,7 +13,9 @@ import { StdioServerTransport } from '@modelcontextprotocol/sdk/server/stdio.js'
 import { getDb, getDataDir } from '@careermate/db';
 import { TOOLS, toCallToolResult } from '@careermate/mcp-tools';
 
-const APP_VERSION = '0.1.0';
+// 번들 빌드(esbuild)에서 package.json 버전으로 치환된다. tsx 개발 실행에서는 정의되지 않아 typeof로 안전 분기.
+declare const __APP_VERSION__: string | undefined;
+const APP_VERSION = typeof __APP_VERSION__ !== 'undefined' ? __APP_VERSION__ : '0.0.0-dev';
 
 async function main(): Promise<void> {
   // Ensure the DB is created/migrated before serving any tool call.

package/apps/web/DESIGN_GUIDE.md

@@ -27,7 +27,7 @@
 3. **필러 설명 금지.** 설명 줄은 *수치·제약·상태·자명하지 않은 이유*를 말할 때만 허용. 제목을 바꿔 말하면 삭제. **"한눈에" 금지.**
 4. **설정/MCP 안내는 단 한 곳(홈 '시작하기' 카드)에만.** 빈 상태는 화면별 **고유 한 문장**. "ChatGPT/Claude에게 …저장됩니다" 반복·`MCP_HINT` 공용 상수 금지.
 5. **위계는 타이포·여백으로, 박스로 X.** 단일 빈 상태/단일 블록을 `.card`로 감싸지 않는다. 카드는 **반복·선택 가능한 객체**(공고 행, 자소서, 보드 카드)에만. **카드 in 카드 금지.**
-6. **악센트(인디고)는 절제.** 1차 버튼·링크·포커스 링·active nav에만. **장식용 보라 그라데이션 금지** (`.sidebar__logo`, `.progress__bar`의 `135deg accent→#7c3aed`는 평면 `var(--accent)`로). 코드에 raw hex 금지 — 색은 CSS 변수로만.
+6. **악센트(에메랄드 `--accent: #0f7256`)는 절제.** 1차 버튼·링크·포커스 링·active nav에만. 랜딩(install-page)과 동일한 크림 페이퍼 + 에메랄드 팔레트로 통일(인디고 폐기). **장식용 보라 그라데이션 금지** (`.sidebar__logo`, `.progress__bar`의 `135deg accent→#7c3aed`는 평면 `var(--accent)`로). 코드에 raw hex 금지 — 색은 CSS 변수로만.
 7. **버튼 라벨은 동사+명사, 흐름 내내 일관.** 모달 저장 버튼은 `저장`이 아니라 **`공고 저장`/`경력 저장`**. 생성 라벨과 성공 토스트의 명사가 일치(`공고 저장`→`공고를 저장했습니다`). 맨동사는 `취소`·`닫기`·`복사`만.
 8. **인덱스 페이지는 툴바+행으로 직행.** 설명 헤더 블록은 settings/profile/온보딩/상세에만. 상세(`jobs/:id`)의 회사명 `<h1>`은 nav가 못 보여주는 *콘텐츠*이므로 유일한 정당한 예외.
 9. **숫자 열은 우정렬 + `.tnum`.** 적합도 점수·파일 크기 등은 `text-align:right`로 자릿수를 정렬.
@@ -52,7 +52,7 @@ PageHead( (인덱스 페이지)        → 제거 (상단바 제목으로 충분
 ```
 
 추가 육안 테스트(페이지마다):
-- **눈 가늘게 뜨기 테스트**: 채워진 인디고 버튼은 정확히 1개. 2개가 경쟁하면 하나를 ghost로 강등.
+- **눈 가늘게 뜨기 테스트**: 채워진 악센트(에메랄드) 버튼은 정확히 1개. 2개가 경쟁하면 하나를 ghost로 강등.
 - **h1 개수**: 인덱스 0개(사이드바가 제목) / 상세·설정·프로필 1개. h1→h3 건너뜀 없음.
 - **빈 상태 형태**: 제목 + 고유 한 문장 + (있다면) 버튼 1개. 검색결과 없음은 '필터 초기화'지 생성 CTA가 아님.
 

package/apps/web/public/index.html

@@ -5,7 +5,10 @@
   <meta name="viewport" content="width=device-width, initial-scale=1" />
   <title>CareerMate — 내 커리어 흐름 관리</title>
   <meta name="description" content="ChatGPT/Claude와 함께 쓰는 로컬 커리어 관리 도구" />
-  <link rel="icon" href="data:image/svg+xml,<svg xmlns='http://www.w3.org/2000/svg' viewBox='0 0 24 24'><rect width='24' height='24' rx='6' fill='%234f46e5'/><text x='12' y='17' font-size='14' text-anchor='middle' fill='white' font-family='sans-serif' font-weight='bold'>C</text></svg>" />
+  <meta name="theme-color" content="#faf8f4" media="(prefers-color-scheme: light)" />
+  <meta name="theme-color" content="#14130f" media="(prefers-color-scheme: dark)" />
+  <link rel="icon" href="data:image/svg+xml,<svg xmlns='http://www.w3.org/2000/svg' viewBox='0 0 24 24'><rect width='24' height='24' rx='6' fill='%230f7256'/><text x='12' y='17' font-size='14' text-anchor='middle' fill='white' font-family='sans-serif' font-weight='bold'>C</text></svg>" />
+  <link rel="apple-touch-icon" href="/icon-180.png" />
   <link rel="preload" href="/fonts/PretendardVariable.woff2" as="font" type="font/woff2" crossorigin />
   <link rel="stylesheet" href="/styles.css" />
 </head>

package/apps/web/public/lib.js

@@ -49,7 +49,7 @@ export function mount(node, ...children) { clear(node); appendChildren(node, chi
 const ICONS = {
   home: '<path d="M3 10.5 12 3l9 7.5"/><path d="M5 9.5V21h14V9.5"/>',
   user: '<circle cx="12" cy="8" r="4"/><path d="M4 21c0-4 4-6 8-6s8 2 8 6"/>',
-  briefcase: '<rect x="3" y="7" width="18" height="13" rx="2"/><path d="M8 7V5a2 2 0 0 1 2-2h4a2 2 0 0 1 2 2v2"/><path d="M3 12h18"/>',
+  briefcase: '<rect x="3" y="8" width="18" height="11" rx="2.5"/><path d="M8.5 8V6.5a2 2 0 0 1 2-2h3a2 2 0 0 1 2 2V8"/><path d="M3 13h18"/>',
   layers: '<path d="m12 3 9 5-9 5-9-5 9-5Z"/><path d="m3 13 9 5 9-5"/>',
   file: '<path d="M14 3H7a2 2 0 0 0-2 2v14a2 2 0 0 0 2 2h10a2 2 0 0 0 2-2V8Z"/><path d="M14 3v5h5"/>',
   mic: '<rect x="9" y="3" width="6" height="11" rx="3"/><path d="M5 11a7 7 0 0 0 14 0"/><path d="M12 18v3"/>',

package/apps/web/public/pages/applications.js

@@ -12,6 +12,19 @@ const STATUS_COLOR = {
   final_passed: 'var(--green)', on_hold: 'var(--slate)', rejected: 'var(--red)',
 };
 
+// deadline(YYYY-MM-DD) → "마감 D-7" / "마감 D-day" / "마감 지남" (null if absent/invalid)
+function ddayLabel(deadline) {
+  if (!deadline) return null;
+  const d = new Date(`${deadline}T00:00:00`);
+  if (isNaN(d.getTime())) return null;
+  const today = new Date();
+  today.setHours(0, 0, 0, 0);
+  const days = Math.round((d.getTime() - today.getTime()) / 86400000);
+  if (days > 0) return `마감 D-${days}`;
+  if (days === 0) return '마감 D-day';
+  return '마감 지남';
+}
+
 export async function render(ctx) {
   ctx.setActions([]);
   const data = await get('/api/applications');
@@ -58,6 +71,9 @@ export async function render(ctx) {
 
   function AppRow(app) {
     const job = app.job || {};
+    const subBits = [job.position, job.location].filter(Boolean);
+    const dday = ddayLabel(job.deadline);
+    if (dday) subBits.push(dday);
     const sel = Select(
       statusOptions.map((o) => ({ ...o, selected: o.value === app.status })),
       {
@@ -69,7 +85,7 @@ export async function render(ctx) {
     );
     return ListRow({
       title: job.company || '—',
-      sub: job.position || '',
+      sub: subBits.join(' · '),
       trailing: [
         app.fit_score != null
           ? el('span', { class: `strong tnum ${scoreClass(app.fit_score)}` }, `${app.fit_score}점`)

package/apps/web/public/pages/settings.js

@@ -1,7 +1,7 @@
 // Settings — data location, connection, theme, backup/export, and danger zone.
 // Everything stays local; this page surfaces where data lives and how to manage it.
 import {
-  el, get, post, icon, navigate, Card, Stat, Btn, IconBtn, Input,
+  el, get, post, icon, navigate, Card, Btn, IconBtn, Input,
   openModal, copyText, downloadUrl, fmtRelative, toastOk, toastError, mount,
 } from '/lib.js';
 
@@ -134,12 +134,14 @@ function Theme() {
 
 /* ---------------------------------------------------------- 내 데이터 */
 function MyData(counts = {}) {
-  const entries = Object.entries(COUNT_LABELS)
-    .map(([key, label]) => Stat({ label, value: counts[key] ?? 0 }));
+  const items = Object.entries(COUNT_LABELS).map(([key, label]) =>
+    el('div', { class: 'countstrip__item' },
+      el('div', { class: 'countstrip__num tnum' }, String(counts[key] ?? 0)),
+      el('div', { class: 'countstrip__label' }, label)));
   return Card({
     title: '내 데이터',
     sub: '이 컴퓨터에 저장된 항목 수',
-    body: el('div', { class: 'grid grid--3' }, ...entries),
+    body: el('div', { class: 'countstrip' }, ...items),
   });
 }
 

package/apps/web/public/styles.css

@@ -19,24 +19,24 @@
 }
 
 :root {
-  /* Neutral palette (light) */
-  --bg: #ffffff;
-  --bg-subtle: #f7f7f8;
-  --bg-sunken: #f1f1f3;
+  /* Warm paper neutrals (light) — unified with the public landing page */
+  --bg: #faf8f4;
+  --bg-subtle: #f2efe8;
+  --bg-sunken: #ece8df;
   --surface: #ffffff;
-  --surface-hover: #f7f7f8;
-  --border: #e6e6e9;
-  --border-strong: #d4d4d8;
-  --text: #1c1c1f;
-  --text-secondary: #5c5c66;
-  --text-tertiary: #8a8a94;
+  --surface-hover: #f5f2ec;
+  --border: #e6e1d6;
+  --border-strong: #d6d0c2;
+  --text: #1c1a16;
+  --text-secondary: #595449;
+  --text-tertiary: #8b867a;
   --text-on-accent: #ffffff;
 
-  /* Accent — calm indigo */
-  --accent: #4f46e5;
-  --accent-hover: #4338ca;
-  --accent-soft: #eef2ff;
-  --accent-border: #c7d2fe;
+  /* Accent — deep emerald (single flat accent, no gradient) */
+  --accent: #0f7256;
+  --accent-hover: #0b5b44;
+  --accent-soft: #e7f1ec;
+  --accent-border: #bcdccd;
 
   /* Semantic */
   --green: #15803d;     --green-soft: #ecfdf3;  --green-border: #bbf7d0;
@@ -67,31 +67,38 @@
 
 @media (prefers-color-scheme: dark) {
   :root:not([data-theme='light']) {
-    --bg: #161618;
-    --bg-subtle: #1d1d20;
-    --bg-sunken: #0f0f11;
-    --surface: #1d1d20;
-    --surface-hover: #26262a;
-    --border: #2c2c31;
-    --border-strong: #3a3a41;
-    --text: #ededf0;
-    --text-secondary: #a5a5b0;
-    --text-tertiary: #74747e;
-    --accent: #818cf8;
-    --accent-hover: #a5b4fc;
-    --accent-soft: #1e1b3a;
-    --accent-border: #3730a3;
+    --bg: #14130f;
+    --bg-subtle: #201d17;
+    --bg-sunken: #100f0b;
+    --surface: #1b1915;
+    --surface-hover: #262219;
+    --border: #2e2a22;
+    --border-strong: #3e3930;
+    --text: #f2eee5;
+    --text-secondary: #aaa599;
+    --text-tertiary: #79746a;
+    --accent: #34d399;
+    --accent-hover: #6ee7b7;
+    --accent-soft: #11281d;
+    --accent-border: #1f4f3c;
+    --text-on-accent: #05241a;
     --green-soft:#0e2a1a; --teal-soft:#0c2826; --blue-soft:#11203f; --violet-soft:#1e1638;
     --amber-soft:#2a2008; --red-soft:#2c1414; --slate-soft:#1f242b;
+    /* lighter semantic foregrounds so status badges stay legible on dark soft bg */
+    --green:#4ade80; --teal:#2dd4bf; --blue:#60a5fa; --violet:#a78bfa; --amber:#fbbf24; --red:#ef4444; --slate:#94a3b8;
+    --green-border:#1f4f3c; --teal-border:#155e57; --blue-border:#1e3a6b; --violet-border:#3b2f6b; --amber-border:#5c4410; --red-border:#5c2020; --slate-border:#3a4250;
     --shadow-lg: 0 12px 40px rgba(0,0,0,.5);
   }
 }
 :root[data-theme='dark'] {
-  --bg:#161618; --bg-subtle:#1d1d20; --bg-sunken:#0f0f11; --surface:#1d1d20; --surface-hover:#26262a;
-  --border:#2c2c31; --border-strong:#3a3a41; --text:#ededf0; --text-secondary:#a5a5b0; --text-tertiary:#74747e;
-  --accent:#818cf8; --accent-hover:#a5b4fc; --accent-soft:#1e1b3a; --accent-border:#3730a3;
+  --bg:#14130f; --bg-subtle:#201d17; --bg-sunken:#100f0b; --surface:#1b1915; --surface-hover:#262219;
+  --border:#2e2a22; --border-strong:#3e3930; --text:#f2eee5; --text-secondary:#aaa599; --text-tertiary:#79746a;
+  --accent:#34d399; --accent-hover:#6ee7b7; --accent-soft:#11281d; --accent-border:#1f4f3c; --text-on-accent:#05241a;
   --green-soft:#0e2a1a; --teal-soft:#0c2826; --blue-soft:#11203f; --violet-soft:#1e1638;
-  --amber-soft:#2a2008; --red-soft:#2c1414; --slate-soft:#1f242b; --shadow-lg:0 12px 40px rgba(0,0,0,.5);
+  --amber-soft:#2a2008; --red-soft:#2c1414; --slate-soft:#1f242b;
+  --green:#4ade80; --teal:#2dd4bf; --blue:#60a5fa; --violet:#a78bfa; --amber:#fbbf24; --red:#ef4444; --slate:#94a3b8;
+  --green-border:#1f4f3c; --teal-border:#155e57; --blue-border:#1e3a6b; --violet-border:#3b2f6b; --amber-border:#5c4410; --red-border:#5c2020; --slate-border:#3a4250;
+  --shadow-lg:0 12px 40px rgba(0,0,0,.5);
 }
 
 * { box-sizing: border-box; }
@@ -120,7 +127,7 @@ h1,h2,h3,h4 { margin: 0; font-weight: 650; letter-spacing: -0.01em; }
 .sidebar__logo {
   width: 30px; height: 30px; border-radius: 8px; flex: none;
   background: var(--accent);
-  display: grid; place-items: center; color: #fff; font-weight: 800; font-size: 15px;
+  display: grid; place-items: center; color: var(--text-on-accent); font-weight: 800; font-size: 15px;
 }
 .sidebar__title { font-weight: 700; font-size: 15px; letter-spacing: -.01em; }
 .sidebar__subtitle { font-size: 12px; color: var(--text-tertiary); margin-top: 1px; }
@@ -135,7 +142,7 @@ h1,h2,h3,h4 { margin: 0; font-weight: 650; letter-spacing: -0.01em; }
 .nav__item svg { width: 17px; height: 17px; flex: none; }
 .nav__badge { margin-left: auto; font-size: 11.5px; background: var(--bg-sunken); color: var(--text-secondary);
   padding: 1px 7px; border-radius: 999px; font-weight: 600; }
-.nav__item.is-active .nav__badge { background: var(--accent); color: #fff; }
+.nav__item.is-active .nav__badge { background: var(--accent); color: var(--text-on-accent); }
 .sidebar__foot { padding: 12px 16px; border-top: 1px solid var(--border); font-size: 12px; color: var(--text-tertiary); }
 .sidebar__foot .dot { display:inline-block; width:7px; height:7px; border-radius:999px; background: var(--green); margin-right:6px; }
 
@@ -184,6 +191,12 @@ h1,h2,h3,h4 { margin: 0; font-weight: 650; letter-spacing: -0.01em; }
 .stat__label svg { width: 15px; height: 15px; color: var(--text-tertiary); }
 .stat__value { font-size: 26px; font-weight: 700; letter-spacing: -.02em; margin-top: 6px; }
 .stat__hint { font-size: 12.5px; color: var(--text-tertiary); margin-top: 2px; }
+/* borderless count strip (settings 내 데이터) — flat counts, never a card-in-card */
+.countstrip { display: grid; grid-template-columns: repeat(3, 1fr); gap: 18px 24px; }
+.countstrip__item { display: flex; flex-direction: column; gap: 2px; }
+.countstrip__num { font-size: 24px; font-weight: 700; letter-spacing: -.02em; }
+.countstrip__label { font-size: 13px; color: var(--text-secondary); }
+@media (max-width: 560px){ .countstrip { grid-template-columns: repeat(2, 1fr); } }
 
 /* ----------------------------------------------------------------- buttons */
 .btn {
@@ -195,7 +208,7 @@ h1,h2,h3,h4 { margin: 0; font-weight: 650; letter-spacing: -0.01em; }
 .btn:hover { background: var(--surface-hover); }
 .btn:disabled { opacity: .5; cursor: not-allowed; }
 .btn svg { width: 15px; height: 15px; }
-.btn--primary { background: var(--accent); border-color: var(--accent); color: #fff; }
+.btn--primary { background: var(--accent); border-color: var(--accent); color: var(--text-on-accent); }
 .btn--primary:hover { background: var(--accent-hover); border-color: var(--accent-hover); }
 .btn--ghost { border-color: transparent; background: transparent; }
 .btn--ghost:hover { background: var(--surface-hover); }

package/apps/web/src/info.ts

@@ -3,21 +3,18 @@
  * endpoint. Lets non-technical users *see* where their data lives, which is a
  * core privacy promise: everything is on this machine.
  */
-import { getDataDir, getDbPath, getExportsDir, getBackupsDir } from '@careermate/db';
 import {
-  profileRepo,
-  experienceRepo,
-  projectRepo,
-  skillRepo,
-  documentRepo,
-  coverLetterRepo,
-  jobRepo,
-  applicationRepo,
-  interviewRepo,
+  getDataDir,
+  getDbPath,
+  getExportsDir,
+  getBackupsDir,
+  getEntityCounts,
 } from '@careermate/db';
 
 export const APP_NAME = 'CareerMate';
-export const APP_VERSION = '0.1.0';
+// 번들 빌드(esbuild)에서 package.json 버전으로 치환된다. tsx 개발 실행에서는 정의되지 않아 typeof로 안전 분기.
+declare const __APP_VERSION__: string | undefined;
+export const APP_VERSION = typeof __APP_VERSION__ !== 'undefined' ? __APP_VERSION__ : '0.0.0-dev';
 
 let _port = 0;
 export function setServerPort(port: number): void {
@@ -35,16 +32,6 @@ export function getServerInfo() {
     exports_dir: getExportsDir(),
     backups_dir: getBackupsDir(),
     node_version: process.version,
-    counts: {
-      profile: profileRepo.get() ? 1 : 0,
-      experiences: experienceRepo.list().length,
-      projects: projectRepo.list().length,
-      skills: skillRepo.list().length,
-      documents: documentRepo.list().length,
-      cover_letters: coverLetterRepo.list().length,
-      jobs: jobRepo.list().length,
-      applications: applicationRepo.list().length,
-      interview_preps: interviewRepo.list().length,
-    },
+    counts: getEntityCounts(),
   };
 }

package/apps/web/src/routes.ts

@@ -23,6 +23,7 @@ import {
   DOCUMENT_KIND_LABELS,
   APPLICATION_BOARD_ORDER,
   type DocumentKind,
+  type JobInput,
 } from '@careermate/shared';
 import {
   profileRepo,
@@ -44,6 +45,9 @@ import {
   listRecentActivity,
   saveProfile,
   addResume,
+  addExperience,
+  addProject,
+  addSkill,
   saveJobPosting,
   saveFitAnalysis,
   saveCoverLetterVersion,
@@ -95,9 +99,11 @@ export function registerApiRoutes(router: Router): void {
   router.get('/api/health', () => ({ ok: true, ...getServerInfo() }));
   router.get('/api/onboarding', () => getOnboardingStatus());
   router.get('/api/summary', () => getHomeSummary());
-  router.get('/api/activity', (ctx) => ({
-    activities: listRecentActivity(Number(ctx.query.get('limit') ?? 30)),
-  }));
+  router.get('/api/activity', (ctx) => {
+    const raw = Number(ctx.query.get('limit'));
+    const limit = Number.isFinite(raw) && raw > 0 ? Math.min(raw, 100) : 30;
+    return { activities: listRecentActivity(limit) };
+  });
   router.get('/api/context', (ctx) =>
     getApplicationContext({ job_id: ctx.query.get('job_id') ?? undefined }),
   );
@@ -119,9 +125,7 @@ export function registerApiRoutes(router: Router): void {
   router.get('/api/experiences', () => ({ experiences: experienceRepo.list() }));
   router.post('/api/experiences', async (ctx) => {
     const input = await readJsonBody(ctx.req, ExperienceInputSchema);
-    const exp = experienceRepo.add(input);
-    activityRepo.log('profile_updated', `경력(${exp.company})을 추가했습니다.`, 'experience', exp.id);
-    return { experience: exp };
+    return { experience: addExperience(input) };
   });
   router.put('/api/experiences/:id', async (ctx) => {
     const input = await readJsonBody(ctx.req, ExperienceInputSchema.partial());
@@ -135,9 +139,7 @@ export function registerApiRoutes(router: Router): void {
   router.get('/api/projects', () => ({ projects: projectRepo.list() }));
   router.post('/api/projects', async (ctx) => {
     const input = await readJsonBody(ctx.req, ProjectInputSchema);
-    const prj = projectRepo.add(input);
-    activityRepo.log('profile_updated', `프로젝트(${prj.name})를 추가했습니다.`, 'project', prj.id);
-    return { project: prj };
+    return { project: addProject(input) };
   });
   router.put('/api/projects/:id', async (ctx) => {
     const input = await readJsonBody(ctx.req, ProjectInputSchema.partial());
@@ -151,7 +153,7 @@ export function registerApiRoutes(router: Router): void {
   router.get('/api/skills', () => ({ skills: skillRepo.list() }));
   router.post('/api/skills', async (ctx) => {
     const input = await readJsonBody(ctx.req, SkillInputSchema);
-    return { skill: skillRepo.add(input) };
+    return { skill: addSkill(input) };
   });
   router.put('/api/skills/:id', async (ctx) => {
     const input = await readJsonBody(ctx.req, SkillInputSchema.partial());
@@ -239,9 +241,11 @@ export function registerApiRoutes(router: Router): void {
   router.get('/api/jobs/:id', (ctx) => ({ job: jobDetail(id(ctx)) }));
   router.put('/api/jobs/:id', async (ctx) => {
     const input = await readJsonBody(ctx.req, JobInputSchema.partial());
-    const existing = jobRepo.get(id(ctx));
-    if (!existing) throw new HttpError(404, '공고를 찾을 수 없습니다.');
-    const job = jobRepo.upsert({ ...existing, ...input } as any, existing.id);
+    const jid = id(ctx);
+    if (!jobRepo.get(jid)) throw new HttpError(404, '공고를 찾을 수 없습니다.');
+    // upsert가 id로 기존 레코드와 병합하므로 누락 필드는 기존 값이 유지된다.
+    // (존재를 위에서 확인했으므로 partial을 JobInput으로 좁혀 전달.)
+    const job = jobRepo.upsert(input as JobInput, jid);
     return { job: jobWithMeta(job) };
   });
   router.delete('/api/jobs/:id', (ctx) => ({ ok: jobRepo.remove(id(ctx)) }));

package/apps/web/src/server.ts

@@ -77,9 +77,11 @@ export function createServer(): http.Server {
         return;
       }
       if (pathname.startsWith('/install/')) {
+        // The install page is public static guidance and uses no API/CSRF token,
+        // so do not inject the session token there (least privilege).
         const rel = pathname === '/install/' ? 'index.html' : pathname.slice('/install/'.length);
-        if (serveStatic(res, INSTALL_ROOT, rel, injectToken)) return;
-        if (serveStatic(res, INSTALL_ROOT, 'index.html', injectToken)) return;
+        if (serveStatic(res, INSTALL_ROOT, rel)) return;
+        if (serveStatic(res, INSTALL_ROOT, 'index.html')) return;
       }
 
       // Dashboard static assets, with SPA fallback to index.html.
@@ -113,29 +115,35 @@ export function startServer(preferredPort: number): Promise<StartedServer> {
 
   return new Promise((resolve, reject) => {
     let attempt = 0;
-    const tryListen = (port: number) => {
-      server.once('error', (e: NodeJS.ErrnoException) => {
-        if (e.code === 'EADDRINUSE' && attempt < 15) {
-          attempt++;
-          tryListen(port + 1);
-        } else {
-          reject(e);
-        }
-      });
-      server.listen(port, '127.0.0.1', () => {
-        setServerPort(port);
-        const url = `http://127.0.0.1:${port}`;
-        // Publish our address so the MCP server (a separate process) can find us.
-        writeRuntimeInfo({ url, port, pid: process.pid, started_at: new Date().toISOString() });
-        const cleanup = () => {
-          clearRuntimeInfo();
-          process.exit(0);
-        };
-        process.on('SIGINT', cleanup);
-        process.on('SIGTERM', cleanup);
-        resolve({ server, port, url });
-      });
+    // Persistent handlers (attached once). Re-calling server.listen() on the same
+    // server for retries must NOT pass a one-time 'listening' callback per attempt:
+    // those accumulate and all fire on the eventual bind, so the FIRST (wrong) port
+    // would win the resolve. Instead read the real bound port from server.address().
+    const onError = (e: NodeJS.ErrnoException) => {
+      if (e.code === 'EADDRINUSE' && attempt < 15) {
+        attempt++;
+        server.listen(preferredPort + attempt, '127.0.0.1');
+      } else {
+        reject(e);
+      }
     };
-    tryListen(preferredPort);
+    server.on('error', onError);
+    server.once('listening', () => {
+      server.removeListener('error', onError);
+      const addr = server.address();
+      const port = typeof addr === 'object' && addr ? addr.port : preferredPort;
+      setServerPort(port);
+      const url = `http://127.0.0.1:${port}`;
+      // Publish our address so the MCP server (a separate process) can find us.
+      writeRuntimeInfo({ url, port, pid: process.pid, started_at: new Date().toISOString() });
+      const cleanup = () => {
+        clearRuntimeInfo();
+        process.exit(0);
+      };
+      process.on('SIGINT', cleanup);
+      process.on('SIGTERM', cleanup);
+      resolve({ server, port, url });
+    });
+    server.listen(preferredPort, '127.0.0.1');
   });
 }

package/apps/web/src/settings.ts

@@ -4,28 +4,32 @@
  */
 import fs from 'node:fs';
 import path from 'node:path';
+import type { DatabaseSync } from 'node:sqlite';
 import { getDb, getDbPath, getBackupsDir, getDataDir } from '@careermate/db';
 
-const TABLES = [
-  'profile',
-  'experiences',
-  'projects',
-  'skills',
-  'documents',
-  'cover_letters',
-  'cover_letter_versions',
-  'jobs',
-  'fit_analyses',
-  'applications',
-  'interview_preps',
-  'activities',
-];
+/**
+ * Every user-data table, discovered from the live schema rather than a hand-kept
+ * list — so a table added by a future migration is automatically included in
+ * export/backup/reset (a stale list would silently skip it, e.g. dropping data
+ * on reset that was never backed up). `_meta` (schema_version) is intentionally
+ * excluded so reset keeps the migration state. Names come from sqlite_master,
+ * not user input, so interpolating them into SQL below is safe.
+ */
+function listTables(db: DatabaseSync): string[] {
+  return (
+    db
+      .prepare(
+        `SELECT name FROM sqlite_master WHERE type='table' AND name NOT LIKE 'sqlite_%' AND name != '_meta' ORDER BY name`,
+      )
+      .all() as { name: string }[]
+  ).map((r) => r.name);
+}
 
 /** Full machine-readable dump of every table — portable backup / GDPR-style export. */
 export function exportAll(): { exported_at: string; version: number; tables: Record<string, unknown[]> } {
   const db = getDb();
   const tables: Record<string, unknown[]> = {};
-  for (const t of TABLES) {
+  for (const t of listTables(db)) {
     tables[t] = db.prepare(`SELECT * FROM ${t}`).all();
   }
   const ver = db.prepare(`SELECT value FROM _meta WHERE key='schema_version'`).get() as
@@ -40,8 +44,22 @@ export function createBackup(): { backup_path: string; json_path: string } {
   const dir = getBackupsDir();
   const dbBackup = path.join(dir, `careermate-${stamp}.sqlite`);
   const jsonBackup = path.join(dir, `careermate-${stamp}.json`);
-  // Use SQLite's online backup via VACUUM INTO for a consistent snapshot.
+
+  // Defense in depth: the backup target must stay inside the backups directory,
+  // even though the filename is built from a controlled timestamp.
+  const resolvedDir = path.resolve(dir);
+  if (!path.resolve(dbBackup).startsWith(resolvedDir + path.sep)) {
+    throw new Error('백업 경로가 백업 폴더를 벗어났습니다.');
+  }
+
+  // Prefer SQLite's VACUUM INTO for a WAL-consistent snapshot. node:sqlite's
+  // exec() can't bind parameters, so the path is embedded as a quoted string
+  // literal (single quotes doubled). If the path can't be embedded safely
+  // (NUL / newline), fall back to a plain file copy instead of risking a
+  // malformed statement.
+  const safeForLiteral = !/[\0\n\r]/.test(dbBackup);
   try {
+    if (!safeForLiteral) throw new Error('backup path not safe for SQL literal');
     getDb().exec(`VACUUM INTO '${dbBackup.replace(/'/g, "''")}'`);
   } catch {
     fs.copyFileSync(getDbPath(), dbBackup);
@@ -60,7 +78,7 @@ export function resetAll(confirm: string): { ok: boolean; backup_path?: string }
   const db = getDb();
   db.exec('BEGIN');
   try {
-    for (const t of TABLES) db.exec(`DELETE FROM ${t}`);
+    for (const t of listTables(db)) db.exec(`DELETE FROM ${t}`);
     db.exec('COMMIT');
   } catch (e) {
     db.exec('ROLLBACK');

package/bin/careermate.mjs

@@ -33,11 +33,14 @@ const BUNDLES = {
   mcp: 'dist/mcp.mjs',
   start: 'dist/web.mjs',
   dashboard: 'dist/web.mjs',
+  doctor: 'dist/doctor.mjs',
+  migrate: 'dist/migrate.mjs',
 };
 
 const [cmd = 'help', ...rest] = process.argv.slice(2);
 
-if (cmd === 'help' || cmd === '--help' || cmd === '-h' || !ENTRIES[cmd]) {
+const isHelp = cmd === 'help' || cmd === '--help' || cmd === '-h';
+if (isHelp || !ENTRIES[cmd]) {
   const lines = [
     'CareerMate — 내 AI를 커리어 비서로 (로컬 MCP 도구)',
     '',
@@ -50,10 +53,10 @@ if (cmd === 'help' || cmd === '--help' || cmd === '-h' || !ENTRIES[cmd]) {
     '',
     '처음이라면:  careermate init  → AI 클라이언트 재시작',
   ];
-  // 알 수 없는 명령이면 안내를 stderr로 보내 stdout(MCP 전송 채널)을 오염시키지 않는다.
-  const out = ENTRIES[cmd] ? console.log : console.error;
-  out(lines.join('\n'));
-  process.exit(cmd === 'help' || cmd === '--help' || cmd === '-h' ? 0 : 1);
+  // 명시적 도움말은 stdout+exit0, 알 수 없는 명령은 stderr+exit1
+  // (stdout은 MCP 전송 채널이므로 오류 안내로 오염시키지 않는다).
+  (isHelp ? console.log : console.error)(lines.join('\n'));
+  process.exit(isHelp ? 0 : 1);
 }
 
 const bundle = BUNDLES[cmd] ? path.join(ROOT, BUNDLES[cmd]) : null;