careermate 0.1.0 → 0.1.2

package/packages/shared/src/schemas.ts

@@ -20,6 +20,27 @@ import {
 const isoDateTime = z.string();
 const id = z.string();
 
+/**
+ * Reject script-capable URL schemes (javascript:, data:, vbscript:, file:, …)
+ * while allowing http(s), mailto, and scheme-less/relative links. Links are
+ * rendered as clickable anchors in the dashboard, so a `javascript:` URL stored
+ * here would otherwise execute when clicked (DOM-XSS). The dashboard also
+ * sanitizes href/src at render time (lib.js `safeUrl`); this is the write-time
+ * half of that defense-in-depth.
+ */
+function isSafeUrl(u: string): boolean {
+  const s = u.trim();
+  // An explicit scheme (text before the first ':') must be http(s) or mailto.
+  // Scheme-less values (relative paths, bare domains, #anchors) cannot execute.
+  return !/^[a-z][a-z0-9+.-]*:/i.test(s) || /^(https?:|mailto:)/i.test(s);
+}
+const UNSAFE_URL_MSG = 'javascript: 같은 위험한 링크는 사용할 수 없습니다. http(s) 링크를 사용하세요.';
+const SafeUrl = z.string().min(1).refine(isSafeUrl, { message: UNSAFE_URL_MSG });
+const SafeUrlOptional = z
+  .string()
+  .optional()
+  .refine((u) => u == null || u === '' || isSafeUrl(u), { message: UNSAFE_URL_MSG });
+
 const baseRecord = {
   id,
   created_at: isoDateTime,
@@ -30,7 +51,7 @@ const baseRecord = {
 
 export const LinkSchema = z.object({
   label: z.string().min(1),
-  url: z.string().min(1),
+  url: SafeUrl,
 });
 export type Link = z.infer<typeof LinkSchema>;
 
@@ -104,7 +125,7 @@ export const ProjectInputSchema = z.object({
   description: z.string().optional(),
   highlights: z.array(z.string()).optional(),
   tech: z.array(z.string()).optional(),
-  url: z.string().optional(),
+  url: SafeUrlOptional,
   start_date: z.string().optional(),
   end_date: z.string().optional(),
   order_index: z.number().optional(),
@@ -220,7 +241,7 @@ export type CoverLetterRecord = z.infer<typeof CoverLetterRecordSchema>;
 export const JobInputSchema = z.object({
   company: z.string().min(1),
   position: z.string().min(1).describe('직무/포지션명'),
-  url: z.string().optional(),
+  url: SafeUrlOptional,
   location: z.string().optional(),
   employment_type: z.string().optional(),
   description: z.string().optional().describe('공고 원문 또는 정리된 텍스트'),

package/packages/workflows/src/definitions.ts

@@ -29,10 +29,12 @@ export const WORKFLOWS: WorkflowDefinition[] = [
       '사용자가 처음 CareerMate에 연결했거나, "시작하자 / 셋업해줘 / 프로필 등록"이라고 요청할 때.',
     steps: [
       '`get_onboarding_status`를 호출해 현재 등록 상태(has_profile, has_resume, has_cover_letter, has_experience, has_skills, profile_completeness, next_steps)를 확인한다.',
-      '비어 있는 항목을 사용자에게 쉬운 한국어로 안내하고, 이력서/자기소개서 파일 업로드 또는 정보 입력을 요청한다.',
+      '비어 있는 항목을 사용자에게 쉬운 한국어로 안내하고, 먼저 "기존에 작성해 둔 이력서·경력기술서 파일이 있는지" 묻는다(hwp/docx/pdf 모두 가능).',
+      '파일 입력 분기: ① 사용자가 "파일이 있다"고 하면 `open_inbox`로 인입 폴더를 열어 파일을 넣게 하고, "다 넣었다"고 하면 `read_inbox`로 본문을 읽는다(pdf·이미지는 read_inbox가 경로만 주므로 클라이언트의 파일 읽기로 직접 읽는다). ② 사용자가 파일 경로를 직접 알려주면 `read_document`로 읽는다. ③ "없다/직접 입력/텍스트로 붙여넣기"면 폴더를 열지 말고 받은 텍스트를 그대로 쓴다. (묻지도 않고 open_inbox로 폴더를 자동으로 열지 않는다.)',
       '수집한 정보를 구조화해 `save_profile`로 저장한다(이름·연락처·headline·summary·desired_roles·desired_conditions, 그리고 글쓰기 선호인 preferred_tone과 emphasis_points 포함). 파일 출처는 source=upload, 직접 입력은 manual.',
       '업로드한 이력서/경력기술서/포트폴리오 본문을 `add_resume`로 저장한다(kind·title 지정, 대표 문서는 is_primary=true).',
-      '기존 자기소개서가 있으면 `add_cover_letter`로 저장한다(없으면 나중에 작성 가능함을 안내).',
+      '경력·프로젝트·스킬이 파악되면 `add_experience`·`add_project`·`add_skill`로 각각 저장한다(완성도의 has_experience/has_skills에 반영).',
+      '기존 자기소개서가 있으면 `save_cover_letter_version`으로 저장한다(title+content면 v1로 저장, 없으면 나중에 작성 가능함을 안내).',
       '`open_dashboard`를 호출해 사용자가 자기 데이터를 확인하게 한다.',
       '다시 `get_onboarding_status`로 완성도를 확인하고, 다음 단계(공고 분석 등)를 제안한다.',
     ],

package/scripts/build-demo.mjs

@@ -0,0 +1,130 @@
+// =============================================================================
+// build-demo.mjs — generate the no-server demo dashboard served at
+// careermate.life/demo.
+//
+// What it does:
+//   1. Copy apps/web/public/*  ->  install-page/demo/
+//   2. Rewrite root-absolute asset paths (/lib.js, /pages/, /styles.css, ...)
+//      to /demo/... so they resolve under the subpath. (/api/* is left alone —
+//      the shim intercepts those at runtime.)
+//   3. Copy the demo overlay (demo-shim.js, seed.js, demo.css) into install-page/demo/.
+//   4. Inject the shim + demo.css into the copied index.html, and a hint that
+//      this is a demo build.
+//
+// The generated install-page/demo/ folder is committed so Vercel (which serves
+// install-page/ statically) publishes it with no build step or config change.
+//
+// Run:  node scripts/build-demo.mjs
+//
+// Note: avoids fs.rmSync(recursive) — it hard-crashes on Node 25 / Windows
+// (see project memory). Uses a manual recursive remove instead.
+// =============================================================================
+import fs from 'node:fs';
+import path from 'node:path';
+import { fileURLToPath } from 'node:url';
+
+const __dirname = path.dirname(fileURLToPath(import.meta.url));
+const ROOT = path.resolve(__dirname, '..');
+const SRC = path.join(ROOT, 'apps', 'web', 'public');
+const OVERLAY = path.join(ROOT, 'apps', 'web', 'demo');
+const OUT = path.join(ROOT, 'install-page', 'demo');
+
+const TEXT_EXT = new Set(['.html', '.js', '.css', '.svg', '.json', '.txt', '.md']);
+
+/** Manual recursive delete (Node-25-safe; fs.rmSync recursive crashes there). */
+function rimraf(target) {
+  let st;
+  try { st = fs.lstatSync(target); } catch { return; }
+  if (st.isDirectory()) {
+    for (const entry of fs.readdirSync(target)) rimraf(path.join(target, entry));
+    fs.rmdirSync(target);
+  } else {
+    fs.unlinkSync(target);
+  }
+}
+
+/** Rewrite root-absolute references to assets so they work under /demo/. */
+function rewritePaths(code) {
+  return code
+    // import/href/src strings: '/lib.js', "/app.js", '/styles.css', '/icon-180.png'
+    .replace(/(['"`])\/(lib\.js|app\.js|styles\.css|icon-180\.png)/g, '$1/demo/$2')
+    // directories referenced as '/pages/...' or '/fonts/...' (JS/HTML)
+    .replace(/(['"`])\/(pages|fonts)\//g, '$1/demo/$2/')
+    // CSS url(/fonts/...) — with or without quotes
+    .replace(/url\(\s*(['"]?)\/fonts\//g, 'url($1/demo/fonts/');
+}
+
+function copyTree(src, out) {
+  fs.mkdirSync(out, { recursive: true });
+  for (const entry of fs.readdirSync(src, { withFileTypes: true })) {
+    const from = path.join(src, entry.name);
+    const to = path.join(out, entry.name);
+    if (entry.isDirectory()) { copyTree(from, to); continue; }
+    const ext = path.extname(entry.name).toLowerCase();
+    if (TEXT_EXT.has(ext)) {
+      fs.writeFileSync(to, rewritePaths(fs.readFileSync(from, 'utf8')));
+    } else {
+      fs.copyFileSync(from, to);
+    }
+  }
+}
+
+function injectDemo(htmlPath) {
+  let html = fs.readFileSync(htmlPath, 'utf8');
+
+  // Pre-paint theme resolver — same key/default as the marketing site so the
+  // theme is shared and there's no flash (FOUC) before app.js runs.
+  const themeScript =
+    '\n  <!-- Resolve the saved theme before first paint (shared with the marketing site; default dark). -->\n' +
+    '  <script>\n' +
+    '    (function () {\n' +
+    "      try {\n" +
+    "        var t = window.localStorage.getItem('careermate-theme') || window.localStorage.getItem('cf-theme');\n" +
+    "        document.documentElement.setAttribute('data-theme', t === 'light' || t === 'dark' ? t : 'dark');\n" +
+    "      } catch (e) { document.documentElement.setAttribute('data-theme', 'dark'); }\n" +
+    '    })();\n' +
+    '  </script>';
+  html = html.replace(
+    '<meta name="viewport" content="width=device-width, initial-scale=1" />',
+    '<meta name="viewport" content="width=device-width, initial-scale=1" />' + themeScript,
+  );
+
+  // demo.css after the dashboard stylesheet
+  html = html.replace(
+    '<link rel="stylesheet" href="/demo/styles.css" />',
+    '<link rel="stylesheet" href="/demo/styles.css" />\n  <link rel="stylesheet" href="/demo/demo.css" />',
+  );
+
+  // Shim must run before app.js. Both are ES modules; module scripts execute in
+  // document order, so placing the shim immediately before app.js guarantees the
+  // fetch patch is installed before any page code calls it.
+  html = html.replace(
+    '<script type="module" src="/demo/app.js"></script>',
+    '<script type="module" src="/demo/demo-shim.js"></script>\n  <script type="module" src="/demo/app.js"></script>',
+  );
+
+  // Title hint so the browser tab reads as a demo.
+  html = html.replace(
+    '<title>CareerMate — 내 커리어 흐름 관리</title>',
+    '<title>CareerMate 데모 — 대시보드 미리보기</title>',
+  );
+
+  fs.writeFileSync(htmlPath, html);
+}
+
+/* ------------------------------------------------------------------- run */
+console.log('· clearing', path.relative(ROOT, OUT));
+rimraf(OUT);
+
+console.log('· copying dashboard', path.relative(ROOT, SRC), '->', path.relative(ROOT, OUT));
+copyTree(SRC, OUT);
+
+console.log('· copying demo overlay');
+for (const f of ['demo-shim.js', 'seed.js', 'demo.css']) {
+  fs.copyFileSync(path.join(OVERLAY, f), path.join(OUT, f));
+}
+
+console.log('· injecting shim + styles into index.html');
+injectDemo(path.join(OUT, 'index.html'));
+
+console.log('✓ demo built at', path.relative(ROOT, OUT), '— serve install-page/ and open /demo');

package/scripts/build-dist.mjs

@@ -3,10 +3,12 @@
  * scripts/build-dist.mjs — 배포용 플레인 JS 번들 빌드 (esbuild).
  *
  * 개발은 그대로 tsx 무빌드로 돌리고, 배포(.mcpb / npm publish / 추후 독립 .exe)에서는
- * tsx·tsconfig 경로별칭 런타임 의존성을 없애기 위해 두 진입점을 단일 ESM 파일로 번들한다.
+ * tsx·tsconfig 경로별칭 런타임 의존성을 없애기 위해 네 진입점을 각각 단일 ESM 파일로 번들한다.
  *
- *   dist/mcp.mjs     MCP stdio 서버 (Claude Desktop이 실행)
- *   dist/web.mjs     로컬 대시보드 서버
+ *   dist/mcp.mjs        MCP stdio 서버 (Claude Desktop이 실행)
+ *   dist/web.mjs        로컬 대시보드 서버
+ *   dist/doctor.mjs     설치/환경 점검 CLI
+ *   dist/migrate.mjs    DB 마이그레이션 CLI
  *   dist/public/        대시보드 정적 자산 (apps/web/public 복사)
  *   dist/install-page/  설치 안내 페이지 복사
  *
@@ -23,14 +25,25 @@ const DIST = path.join(ROOT, 'dist');
 
 async function main() {
   console.log('CareerMate dist 번들 빌드(esbuild)…');
-  fs.rmSync(path.join(DIST, 'mcp.mjs'), { force: true });
-  fs.rmSync(path.join(DIST, 'web.mjs'), { force: true });
+  // package.json을 버전 단일 출처로 삼아 번들에 주입(앱별 하드코딩 버전 드리프트 방지).
+  const pkgVersion = JSON.parse(fs.readFileSync(path.join(ROOT, 'package.json'), 'utf8')).version;
+  // dist를 통째로 비우고 다시 만든다. build-dist가 소유하는 산출물(mcp/web/doctor/migrate/
+  // public/install-page)만 남기기 위함. 이렇게 해야 직전 build:mcpb가 남긴 mcpb-stage/·
+  // careermate.mcpb(수 MB)나 테스트 잔여물(mcp-smoke.err)이 npm tarball에 섞여 들어가지 않는다
+  // (npm publish의 prepack은 build-dist만 실행하므로 여기서 비우면 게시본이 깨끗하다).
+  // build:mcpb는 이 함수를 먼저 호출한 뒤 mcpb-stage/·careermate.mcpb를 다시 생성하므로 안전.
+  fs.rmSync(DIST, { recursive: true, force: true });
+  fs.mkdirSync(DIST, { recursive: true });
 
   await esbuild.build({
     absWorkingDir: ROOT,
     entryPoints: {
       mcp: 'apps/mcp/src/index.ts',
       web: 'apps/web/src/index.ts',
+      // doctor/migrate도 번들해 둔다. 이 둘은 @careermate/* 워크스페이스 패키지를 import하는데,
+      // 게시 tarball에는 그 패키지들이 resolvable하지 않아 tsx 폴백이 실패한다(번들이면 인라인돼 동작).
+      doctor: 'scripts/doctor.ts',
+      migrate: 'scripts/migrate.ts',
     },
     outdir: 'dist',
     outExtension: { '.js': '.mjs' },
@@ -39,7 +52,7 @@ async function main() {
     format: 'esm',
     target: 'node22',
     tsconfig: 'tsconfig.json',
-    define: { __BUNDLED__: 'true' },
+    define: { __BUNDLED__: 'true', __APP_VERSION__: JSON.stringify(pkgVersion) },
     // ESM 출력에서 CJS 의존성이 require/__dirname을 써도 동작하도록 shim 주입.
     banner: {
       js: "import { createRequire as __cr } from 'module'; const require = __cr(import.meta.url);",
@@ -51,9 +64,34 @@ async function main() {
   fs.rmSync(path.join(DIST, 'public'), { recursive: true, force: true });
   fs.rmSync(path.join(DIST, 'install-page'), { recursive: true, force: true });
   fs.cpSync(path.join(ROOT, 'apps', 'web', 'public'), path.join(DIST, 'public'), { recursive: true });
-  fs.cpSync(path.join(ROOT, 'install-page'), path.join(DIST, 'install-page'), { recursive: true });
+  // install-page/careermate.mcpb 는 공개 사이트(careermate.life)의 다운로드 산출물일 뿐,
+  // 번들 대시보드의 /install/ 라우트에는 필요 없다. 이걸 dist로 들이면 .mcpb 빌드가 직전
+  // 번들(자기 자신, ~6MB)을 다시 접어 넣어 매 빌드마다 용량이 불어난다(자기참조). 제외한다.
+  // install-page/demo 는 공개 사이트(careermate.life/demo) 전용 미리보기다. 자산 경로가
+  // /demo/ 로 재작성돼 있어 번들 대시보드의 /install/ 라우트에서는 동작하지 않고, 폰트까지
+  // 포함해 ~2.5MB를 헛되이 키운다. dist에서 제외한다.
+  const demoDir = path.join(ROOT, 'install-page', 'demo');
+  fs.cpSync(path.join(ROOT, 'install-page'), path.join(DIST, 'install-page'), {
+    recursive: true,
+    filter: (src) => path.basename(src) !== 'careermate.mcpb' && src !== demoDir,
+  });
+
+  // pdfjs 워커 사이드카: pdf.mjs는 번들에 인라인되지만, 워커는 런타임에 별도 파일로
+  // 동적 로드된다(메인스레드 fake worker). 번들 옆에 복사해 두고 documents.ts가
+  // workerSrc로 가리킨다. 이게 없으면 PDF 추출 시 "fake worker" 로드가 실패한다.
+  // (node_modules가 없는 .mcpb 배포에서도 PDF가 동작하도록 dist에 자기완결로 동봉.)
+  const pdfWorker = path.join(ROOT, 'node_modules', 'pdfjs-dist', 'legacy', 'build', 'pdf.worker.min.mjs');
+  if (!fs.existsSync(pdfWorker)) {
+    // 경고로 넘기면 워커 없는 번들이 조용히 게시되고 런타임에 모든 PDF 추출이 깨진다(빌드는 초록).
+    // 빌드를 실패시켜 누락을 게시 전에 드러낸다. pdfjs 업그레이드로 워커 경로가 바뀌면 여기서 잡힌다.
+    throw new Error(
+      `pdfjs 워커를 찾지 못했습니다: ${pdfWorker}\n` +
+        `pdfjs-dist가 설치됐는지, 워커 파일명/경로가 바뀌지 않았는지 확인하세요(PDF 추출의 필수 자산).`,
+    );
+  }
+  fs.copyFileSync(pdfWorker, path.join(DIST, 'pdf.worker.min.mjs'));
 
-  console.log('✅ dist 빌드 완료: dist/mcp.mjs, dist/web.mjs, dist/public, dist/install-page');
+  console.log('✅ dist 빌드 완료: dist/mcp.mjs, dist/web.mjs, dist/doctor.mjs, dist/migrate.mjs, dist/public, dist/install-page');
 }
 
 main().catch((err) => {

package/scripts/build-mcpb.mjs

@@ -28,6 +28,27 @@ function run(cmd, args, opts = {}) {
   return r.status === 0;
 }
 
+/**
+ * The MCP tool registry (packages/mcp-tools) is the single source of truth for
+ * what tools exist. Extract {name, description} from it so manifest.json never
+ * drifts from the real 24-tool list. Returns null if extraction fails.
+ */
+function extractTools() {
+  const script =
+    "import {TOOLS} from '@careermate/mcp-tools';" +
+    "process.stdout.write(JSON.stringify(TOOLS.map(t=>({name:t.name,description:t.title||t.description}))));";
+  const r = spawnSync(process.execPath, ['--no-warnings', '--import', 'tsx', '-e', script], {
+    cwd: ROOT,
+    encoding: 'utf8',
+  });
+  if (r.status !== 0 || !r.stdout) return null;
+  try {
+    return JSON.parse(r.stdout);
+  } catch {
+    return null;
+  }
+}
+
 function main() {
   console.log('CareerMate .mcpb 빌드를 시작합니다…\n');
 
@@ -41,10 +62,32 @@ function main() {
   console.log('\n2) 번들 스테이징(manifest + dist)…');
   fs.rmSync(STAGE, { recursive: true, force: true });
   fs.mkdirSync(STAGE, { recursive: true });
-  fs.copyFileSync(path.join(ROOT, 'manifest.json'), path.join(STAGE, 'manifest.json'));
-  // dist/ 에서 산출물만 복사 (스테이지/번들 산출물 자기참조 제외).
+  // manifest 버전은 package.json을 단일 출처로 삼아 주입한다(.mcpb 버전 드리프트 방지).
+  const pkgVersion = JSON.parse(fs.readFileSync(path.join(ROOT, 'package.json'), 'utf8')).version;
+  const manifest = JSON.parse(fs.readFileSync(path.join(ROOT, 'manifest.json'), 'utf8'));
+  if (manifest.version !== pkgVersion) {
+    console.log(`   manifest 버전 ${manifest.version} → ${pkgVersion} (package.json 기준으로 맞춤)`);
+    manifest.version = pkgVersion;
+  }
+  // 도구 목록은 mcp-tools 레지스트리를 단일 출처로 주입(24개 ↔ manifest 드리프트 방지).
+  const tools = extractTools();
+  if (tools) {
+    console.log(`   manifest 도구 목록 ${manifest.tools?.length ?? 0} → ${tools.length} (mcp-tools 기준으로 맞춤)`);
+    manifest.tools = tools;
+  } else {
+    console.warn('   ⚠ 도구 목록 추출 실패 — 기존 manifest.tools를 그대로 사용합니다.');
+  }
+  fs.writeFileSync(path.join(STAGE, 'manifest.json'), `${JSON.stringify(manifest, null, 2)}\n`, 'utf8');
+  // dist/ 에서 런타임에 필요한 산출물만 복사한다.
+  //  - mcp.mjs        : .mcpb의 entry_point(필수)
+  //  - web.mjs/public : open_dashboard로 띄우는 로컬 대시보드(필수)
+  //  - install-page   : 제외. 공개 마케팅 랜딩의 사본이라 MCP 서버·대시보드 동작에 불필요하고,
+  //                     fonts(2MB)+shots(2MB) 때문에 .mcpb를 두 배로 불린다. 대시보드 /install/
+  //                     라우트는 부재 시 serveStatic이 폴백하므로 깨지지 않는다(.mcpb 사용자는
+  //                     애초에 careermate.life를 거쳐 들어온다). npm 패키지는 dist/install-page를
+  //                     그대로 포함하므로 /install/가 유지된다.
   fs.mkdirSync(path.join(STAGE, 'dist'), { recursive: true });
-  for (const name of ['mcp.mjs', 'web.mjs', 'public', 'install-page']) {
+  for (const name of ['mcp.mjs', 'web.mjs', 'public']) {
     const src = path.join(DIST, name);
     if (fs.existsSync(src)) fs.cpSync(src, path.join(STAGE, 'dist', name), { recursive: true });
   }
@@ -64,7 +107,20 @@ function main() {
 
   const size = (fs.statSync(OUT).size / (1024 * 1024)).toFixed(1);
   console.log(`\n✅ 완성: ${OUT} (${size} MB)`);
-  console.log('   배포: 이 파일을 GitHub Releases 등에 올리면 유저가 더블클릭만 하면 Claude Desktop에 설치됩니다.');
+
+  // 랜딩 페이지(install-page/)가 .mcpb를 직접 서빙한다(careermate.life/careermate.mcpb).
+  // private repo라 GitHub Release 다운로드가 막혀, 빌드 결과를 페이지로 복사해 다운로드
+  // 버튼을 항상 최신으로 유지한다. install-page/ 는 배포 소스라 사이트와 함께 배포된다.
+  console.log('\n4) 랜딩 페이지로 복사…');
+  const pageDir = path.join(ROOT, 'install-page');
+  if (fs.existsSync(pageDir)) {
+    const pageCopy = path.join(pageDir, 'careermate.mcpb');
+    fs.copyFileSync(OUT, pageCopy);
+    console.log(`   복사 완료: ${pageCopy}`);
+    console.log('   배포: install-page/ 를 배포하면 유저가 페이지에서 바로 내려받아 Settings → Extensions → Install extension… 으로 설치합니다.');
+  } else {
+    console.log(`   건너뜀: ${pageDir} 없음 — 페이지 호스팅 복사 생략.`);
+  }
 }
 
 main();

package/scripts/doctor.ts

@@ -10,7 +10,7 @@ import {
   profileRepo, experienceRepo, projectRepo, skillRepo, documentRepo,
   coverLetterRepo, jobRepo, applicationRepo, interviewRepo,
 } from '@careermate/db';
-import { TOOLS } from '@careermate/mcp-tools';
+import { TOOLS, getUpdateStatusAsync } from '@careermate/mcp-tools';
 
 const ok = (s: string) => console.log(`  ✅ ${s}`);
 const warn = (s: string) => console.log(`  ⚠️  ${s}`);
@@ -24,7 +24,7 @@ function checkNode(): boolean {
   return good;
 }
 
-function main(): void {
+async function main(): Promise<void> {
   console.log('\nCareerMate 상태 점검\n' + '─'.repeat(40));
 
   const nodeOk = checkNode();
@@ -68,6 +68,16 @@ function main(): void {
   // MCP tools
   ok(`MCP 도구 ${TOOLS.length}개 등록됨`);
 
+  // Update available?
+  try {
+    const u = await getUpdateStatusAsync();
+    if (u.latest === null) info(`버전 v${u.current} (업데이트 확인 생략 — 오프라인이거나 일시적 오류)`);
+    else if (u.update_available) warn(`새 버전 v${u.latest} 있음 (현재 v${u.current}). 업데이트: ${u.update_command}`);
+    else ok(`최신 버전 v${u.current}`);
+  } catch {
+    /* 업데이트 확인 실패는 점검을 막지 않는다. */
+  }
+
   // Dashboard running?
   const rt = readRuntimeInfo();
   if (rt && isProcessAlive(rt.pid)) ok(`대시보드 실행 중: ${rt.url}`);
@@ -78,4 +88,7 @@ function main(): void {
   process.exit(nodeOk && dbOk ? 0 : 1);
 }
 
-main();
+main().catch((e) => {
+  console.error(e instanceof Error ? e.message : e);
+  process.exit(1);
+});

package/scripts/gen-og.mjs

@@ -0,0 +1,86 @@
+#!/usr/bin/env node
+/**
+ * scripts/gen-og.mjs — 소셜 공유용 OG 이미지와 앱 아이콘(PNG) 생성기.
+ *
+ * 브랜드 색(에메랄드 #0f7256 · 크림 페이퍼 #faf8f4)을 랜딩/대시보드와 통일해
+ * Playwright(chromium)로 다음을 렌더링한다. 한 번 만들어 두면 정적 자산으로 커밋된다.
+ *
+ *   install-page/favicon.svg      벡터 파비콘 (모던 브라우저)
+ *   install-page/og.png           1200×630 소셜 공유 카드 (og:image / twitter:image)
+ *   install-page/icon-180.png     apple-touch-icon
+ *   install-page/icon-512.png     PWA/대형 폴백
+ *   apps/web/public/icon-180.png  대시보드 apple-touch-icon (동일 자산)
+ *
+ * 실행: node scripts/gen-og.mjs   (사전: npx playwright install chromium)
+ */
+import { chromium } from 'playwright';
+import fs from 'node:fs';
+import path from 'node:path';
+import { fileURLToPath } from 'node:url';
+
+const ROOT = path.resolve(path.dirname(fileURLToPath(import.meta.url)), '..');
+const LANDING = path.join(ROOT, 'install-page');
+const PUBLIC = path.join(ROOT, 'apps', 'web', 'public');
+
+const EMERALD = '#0f7256';
+const CREAM = '#faf8f4';
+const KR_FONT = "'Malgun Gothic','Apple SD Gothic Neo','Noto Sans KR',sans-serif";
+
+const favicon = `<svg xmlns="http://www.w3.org/2000/svg" viewBox="0 0 24 24"><rect width="24" height="24" rx="6" fill="${EMERALD}"/><text x="12" y="17" font-size="14" text-anchor="middle" fill="#fff" font-family="Segoe UI,sans-serif" font-weight="bold">C</text></svg>`;
+
+const ogHtml = `<!doctype html><meta charset="utf-8"><style>
+  *{margin:0;box-sizing:border-box}
+  body{width:1200px;height:630px;background:${CREAM};font-family:${KR_FONT};color:#1c1a16}
+  .wrap{width:100%;height:100%;padding:78px 88px;display:flex;flex-direction:column;justify-content:space-between}
+  .brand{display:flex;align-items:center;gap:20px}
+  .logo{width:84px;height:84px;border-radius:20px;background:${EMERALD};color:#fff;font-weight:800;font-size:48px;display:grid;place-items:center}
+  .word{font-size:40px;font-weight:800;letter-spacing:-1.5px}
+  .h{font-size:78px;font-weight:800;line-height:1.08;letter-spacing:-2.5px}
+  .accent{color:${EMERALD}}
+  .sub{font-size:29px;color:#595449;line-height:1.5;margin-top:26px;max-width:900px}
+  .pill{display:inline-flex;align-items:center;gap:13px;font-size:23px;font-weight:600;color:#0b5b44;border:1px solid #bcdccd;background:#e7f1ec;padding:13px 24px;border-radius:999px;align-self:flex-start}
+  .dot{width:12px;height:12px;border-radius:50%;background:${EMERALD}}
+</style><div class="wrap">
+  <div class="brand"><div class="logo">C</div><div class="word">CareerMate</div></div>
+  <div>
+    <div class="h">내 <span class="accent">AI</span>를<br>나만의 <span class="accent">커리어 비서</span>로</div>
+    <div class="sub">이력서·자기소개서·지원 현황을 이 컴퓨터 안에서 관리하세요.<br>분석·글쓰기는 평소 쓰던 AI가, 데이터 보관은 CareerMate가.</div>
+  </div>
+  <div class="pill"><span class="dot"></span>로컬 전용 · MCP · 오픈소스</div>
+</div>`;
+
+const iconHtml = (size) => `<!doctype html><meta charset="utf-8"><style>
+  *{margin:0}
+  body{width:${size}px;height:${size}px;background:${EMERALD};display:grid;place-items:center}
+  .c{color:#fff;font-family:${KR_FONT};font-weight:800;font-size:${Math.round(size * 0.56)}px;line-height:1}
+</style><div class="c">C</div>`;
+
+async function shoot(page, html, w, h, out) {
+  await page.setViewportSize({ width: w, height: h });
+  await page.setContent(html, { waitUntil: 'networkidle' });
+  await page.screenshot({ path: out, clip: { x: 0, y: 0, width: w, height: h } });
+  console.log('  ✔', path.relative(ROOT, out));
+}
+
+async function main() {
+  fs.writeFileSync(path.join(LANDING, 'favicon.svg'), favicon);
+  console.log('  ✔', path.relative(ROOT, path.join(LANDING, 'favicon.svg')));
+
+  const browser = await chromium.launch();
+  const page = await browser.newPage({ deviceScaleFactor: 1 });
+  try {
+    await shoot(page, ogHtml, 1200, 630, path.join(LANDING, 'og.png'));
+    await shoot(page, iconHtml(180), 180, 180, path.join(LANDING, 'icon-180.png'));
+    await shoot(page, iconHtml(512), 512, 512, path.join(LANDING, 'icon-512.png'));
+    fs.copyFileSync(path.join(LANDING, 'icon-180.png'), path.join(PUBLIC, 'icon-180.png'));
+    console.log('  ✔', path.relative(ROOT, path.join(PUBLIC, 'icon-180.png')));
+  } finally {
+    await browser.close();
+  }
+  console.log('OG/아이콘 생성 완료.');
+}
+
+main().catch((err) => {
+  console.error('생성 실패:', err);
+  process.exitCode = 1;
+});

package/scripts/init.ts

@@ -13,7 +13,7 @@
  *
  * 사용:
  *   careermate init                       감지되는 클라이언트에 등록 (기본: 로컬 실행 모드)
- *   careermate init --client claude-code  특정 클라이언트만 (claude | claude-code | codex | cursor)
+ *   careermate init --client claude-code  특정 클라이언트만 (claude | claude-code | codex | cursor | gemini | antigravity)
  *   careermate init --all-clients         감지 여부와 무관하게 지원하는 모든 클라이언트에 등록
  *   careermate init --npx                 MCP 실행을 npx 방식으로 등록(공개 배포/개발자용)
  *   careermate init --print               실제로 쓰지 않고 등록할 설정/명령만 출력
@@ -41,6 +41,8 @@ interface ClientTarget {
   jsonType?: boolean;
   /** project scope처럼 항상 적용 가능한 대상은 감지 없이 기본 포함. */
   alwaysPresent?: boolean;
+  /** 설정 경로가 유동적인 대상(Antigravity)은 '실제 파일이 있을 때만' 감지해 추측 파일 생성을 막는다. */
+  requireFileForPresent?: boolean;
 }
 
 interface ServerEntry {
@@ -90,12 +92,37 @@ function codexConfigPath(): string {
   return path.join(base, 'config.toml');
 }
 
+/** Gemini CLI: `~/.gemini/settings.json` 의 mcpServers(Cursor 등과 동일 JSON 형식). */
+function geminiConfigPath(): string {
+  return path.join(os.homedir(), '.gemini', 'settings.json');
+}
+
+/**
+ * Antigravity(Gemini CLI의 소비자용 후속, 2026-06-18 전환) MCP 설정.
+ * 출시 직후라 정확한 파일 경로가 커뮤니티 소스 간 갈려, 존재하는 후보를 우선 사용한다.
+ * requireFileForPresent로 '실제 파일이 있을 때만' 감지 → 기본 init은 추측 경로에 파일을 만들지 않는다
+ * (--all-clients / --client antigravity 일 때만 첫 후보에 생성). 스키마는 Gemini와 동일(mcpServers).
+ */
+function antigravityCandidates(): string[] {
+  const g = path.join(os.homedir(), '.gemini');
+  return [
+    path.join(g, 'config', 'mcp_config.json'),
+    path.join(g, 'antigravity', 'mcp_config.json'),
+    path.join(g, 'antigravity-cli', 'mcp_config.json'),
+  ];
+}
+function antigravityConfigPath(): string {
+  return antigravityCandidates().find((p) => fs.existsSync(p)) ?? antigravityCandidates()[0];
+}
+
 function allTargets(): ClientTarget[] {
   return [
     { id: 'claude', label: 'Claude Desktop', format: 'mcp-json', configPath: claudeDesktopConfigPath() },
     { id: 'claude-code', label: 'Claude Code', format: 'mcp-json', configPath: claudeCodeConfigPath(), jsonType: true, alwaysPresent: true },
     { id: 'codex', label: 'Codex CLI', format: 'codex-toml', configPath: codexConfigPath() },
     { id: 'cursor', label: 'Cursor (기타 MCP 클라이언트)', format: 'mcp-json', configPath: cursorConfigPath() },
+    { id: 'gemini', label: 'Gemini CLI', format: 'mcp-json', configPath: geminiConfigPath() },
+    { id: 'antigravity', label: 'Antigravity', format: 'mcp-json', configPath: antigravityConfigPath(), requireFileForPresent: true },
   ];
 }
 
@@ -105,6 +132,7 @@ function allTargets(): ClientTarget[] {
  */
 function isPresent(t: ClientTarget): boolean {
   if (t.alwaysPresent) return true;
+  if (t.requireFileForPresent) return fs.existsSync(t.configPath);
   return fs.existsSync(t.configPath) || fs.existsSync(path.dirname(t.configPath));
 }
 
@@ -270,7 +298,7 @@ function printConfigs(server: ServerEntry): void {
   const cmd = [server.command, ...server.args];
   console.log('CareerMate를 AI 클라이언트에 직접 연결하는 방법입니다.\n');
 
-  console.log('① Claude Desktop / Claude Code / Cursor — MCP 설정(mcpServers)에 추가:');
+  console.log('① Claude Desktop / Claude Code / Cursor / Gemini CLI / Antigravity — MCP 설정(mcpServers)에 추가:');
   console.log(
     JSON.stringify(
       { mcpServers: { [PKG]: { type: 'stdio', command: server.command, args: server.args } } },
@@ -279,6 +307,7 @@ function printConfigs(server: ServerEntry): void {
     ),
   );
   console.log('\n  · Claude Code는 위 내용을 프로젝트 루트의 .mcp.json 으로 저장하면 됩니다.');
+  console.log('  · Gemini CLI는 ~/.gemini/settings.json, Antigravity는 ~/.gemini/(config|antigravity|antigravity-cli)/mcp_config.json 의 mcpServers에 같은 블록을 넣으세요(type 키는 없어도 됨).');
   console.log(`  · 또는 명령으로:  ${shellJoin(['claude', 'mcp', 'add', '--scope', 'project', '--transport', 'stdio', PKG, '--', ...cmd])}`);
 
   console.log('\n② Codex CLI — ~/.codex/config.toml 에 추가:');
@@ -324,7 +353,7 @@ function main(): void {
 
   if (connected === 0) {
     console.log('\n연결할 AI 클라이언트를 찾지 못했습니다.');
-    console.log('특정 클라이언트를 지정하거나(--client claude|claude-code|codex|cursor),');
+    console.log('특정 클라이언트를 지정하거나(--client claude|claude-code|codex|cursor|gemini|antigravity),');
     console.log('설정을 직접 복사해 추가할 수 있어요:  careermate init --print');
     process.exitCode = 1;
     return;

package/scripts/seed.ts

@@ -23,8 +23,8 @@ function main(): void {
   }
 
   saveProfile({
-    name: '이서연',
-    email: 'seoyeon.lee@example.com',
+    name: '홍길동',
+    email: 'gildong.hong@example.com',
     phone: '010-1234-5678',
     location: '서울',
     headline: '5년 차 백엔드 엔지니어 · 결제/정산 도메인',
@@ -76,8 +76,8 @@ function main(): void {
   ]) skillRepo.add(s);
 
   addResume({
-    kind: 'resume', title: '이서연 이력서 (백엔드)', is_primary: true, source: 'manual',
-    content: `# 이서연 — 백엔드 엔지니어\n\n## 경력 요약\n결제·정산 도메인 5년. 대규모 트래픽 안정화와 데이터 정합성에 강점.\n\n## 핵심 성과\n- 결제 승인 API p99 320ms→110ms\n- 정산 배치 6시간→40분\n- 연간 거래액 1.2조 무중단 처리`,
+    kind: 'resume', title: '홍길동 이력서 (백엔드)', is_primary: true, source: 'manual',
+    content: `# 홍길동 — 백엔드 엔지니어\n\n## 경력 요약\n결제·정산 도메인 5년. 대규모 트래픽 안정화와 데이터 정합성에 강점.\n\n## 핵심 성과\n- 결제 승인 API p99 320ms→110ms\n- 정산 배치 6시간→40분\n- 연간 거래액 1.2조 무중단 처리`,
   });
 
   // A job with full analysis + cover letter + status + interview prep
@@ -115,7 +115,7 @@ function main(): void {
     star_guides: [
       { question: '가장 큰 기술적 성과', situation: '정산 배치가 6시간 소요되어 익일 지연', task: '처리 시간 단축', action: 'Kafka 이벤트 스트리밍으로 준실시간 파이프라인 재설계', result: '6시간→40분, 정산 지연 0건' },
     ],
-    self_introduction: '안녕하세요. 결제·정산 도메인에서 5년간 "정확함"을 지켜온 백엔드 엔지니어 이서연입니다...(데모 1분 자기소개)',
+    self_introduction: '안녕하세요. 결제·정산 도메인에서 5년간 "정확함"을 지켜온 백엔드 엔지니어 홍길동입니다...(데모 1분 자기소개)',
     notes: '결제 도메인 질문에 집중 예상. 정량 수치 암기.',
   });