careermate 0.1.1 → 0.1.3

package/packages/shared/src/schemas.ts

@@ -20,6 +20,61 @@ import {
 const isoDateTime = z.string();
 const id = z.string();
 
+/**
+ * Reject script-capable URL schemes (javascript:, data:, vbscript:, file:, …)
+ * while allowing http(s), mailto, and scheme-less/relative links. Links are
+ * rendered as clickable anchors in the dashboard, so a `javascript:` URL stored
+ * here would otherwise execute when clicked (DOM-XSS). The dashboard also
+ * sanitizes href/src at render time (lib.js `safeUrl`); this is the write-time
+ * half of that defense-in-depth.
+ */
+function isSafeUrl(u: string): boolean {
+  const s = u.trim();
+  // An explicit scheme (text before the first ':') must be http(s) or mailto.
+  // Scheme-less values (relative paths, bare domains, #anchors) cannot execute.
+  return !/^[a-z][a-z0-9+.-]*:/i.test(s) || /^(https?:|mailto:)/i.test(s);
+}
+const UNSAFE_URL_MSG = 'javascript: 같은 위험한 링크는 사용할 수 없습니다. http(s) 링크를 사용하세요.';
+const MAX_URL = 2_000;
+const SafeUrl = z.string().min(1).max(MAX_URL).refine(isSafeUrl, { message: UNSAFE_URL_MSG });
+const SafeUrlOptional = z
+  .string()
+  .max(MAX_URL)
+  .optional()
+  .refine((u) => u == null || u === '' || isSafeUrl(u), { message: UNSAFE_URL_MSG });
+
+/**
+ * Length-bounded string helpers. MCP/HTTP inputs are otherwise unbounded, so a
+ * malicious or buggy client could send multi-MB strings to exhaust memory/disk.
+ * These caps are generous for real résumés/cover letters but reject abuse.
+ *  - LINE : single-line fields (names, titles, locations)
+ *  - NOTE : short multi-line fields (summaries, notes)
+ *  - BODY : full document bodies (resume / cover letter / job description)
+ *  - ITEM : one array element;  ITEMS : array length
+ */
+const MAX_LINE = 500;
+const MAX_NOTE = 10_000;
+const MAX_BODY = 200_000;
+const MAX_ITEM = 2_000;
+const MAX_ITEMS = 500;
+const EMPTY_MSG = '내용이 비어 있습니다(공백만으로는 저장할 수 없습니다).';
+
+/** Required single-line value: rejects whitespace-only, trims, bounds length. */
+const reqLine = z.string().trim().min(1).max(MAX_LINE);
+/** Optional single-line value (bounded). */
+const optLine = z.string().max(MAX_LINE).optional();
+/** Optional short multi-line note (bounded). */
+const optNote = z.string().max(MAX_NOTE).optional();
+/** Optional full document body (bounded). */
+const optBody = z.string().max(MAX_BODY).optional();
+/** Required full document body: bounded, rejects whitespace-only (no trim — preserve formatting). */
+const reqBody = z
+  .string()
+  .max(MAX_BODY)
+  .refine((s) => s.trim().length > 0, { message: EMPTY_MSG });
+/** Bounded array of bounded strings. */
+const strList = z.array(z.string().max(MAX_ITEM)).max(MAX_ITEMS);
+
 const baseRecord = {
   id,
   created_at: isoDateTime,
@@ -29,23 +84,23 @@ const baseRecord = {
 /* ------------------------------------------------------------------ Profile */
 
 export const LinkSchema = z.object({
-  label: z.string().min(1),
-  url: z.string().min(1),
+  label: reqLine,
+  url: SafeUrl,
 });
 export type Link = z.infer<typeof LinkSchema>;
 
 export const ProfileInputSchema = z.object({
-  name: z.string().min(1).optional(),
-  email: z.string().optional(),
-  phone: z.string().optional(),
-  location: z.string().optional(),
-  headline: z.string().optional().describe('한 줄 소개 / 직무 타이틀'),
-  summary: z.string().optional().describe('자기소개 요약'),
-  desired_roles: z.array(z.string()).optional().describe('희망 직무'),
-  desired_conditions: z.string().optional().describe('희망 근무 조건 (연봉, 지역, 근무형태 등)'),
-  preferred_tone: z.string().optional().describe('자기소개서 선호 문체 (예: 담백하고 구체적)'),
-  emphasis_points: z.array(z.string()).optional().describe('강조하고 싶은 핵심 포인트'),
-  links: z.array(LinkSchema).optional().describe('포트폴리오/깃허브/링크드인 등'),
+  name: reqLine.optional(),
+  email: optLine,
+  phone: optLine,
+  location: optLine,
+  headline: z.string().max(MAX_LINE).optional().describe('한 줄 소개 / 직무 타이틀'),
+  summary: z.string().max(MAX_NOTE).optional().describe('자기소개 요약'),
+  desired_roles: strList.optional().describe('희망 직무'),
+  desired_conditions: z.string().max(MAX_NOTE).optional().describe('희망 근무 조건 (연봉, 지역, 근무형태 등)'),
+  preferred_tone: z.string().max(MAX_LINE).optional().describe('자기소개서 선호 문체 (예: 담백하고 구체적)'),
+  emphasis_points: strList.optional().describe('강조하고 싶은 핵심 포인트'),
+  links: z.array(LinkSchema).max(MAX_ITEMS).optional().describe('포트폴리오/깃허브/링크드인 등'),
 });
 export type ProfileInput = z.infer<typeof ProfileInputSchema>;
 
@@ -68,15 +123,15 @@ export type ProfileRecord = z.infer<typeof ProfileRecordSchema>;
 /* --------------------------------------------------------------- Experience */
 
 export const ExperienceInputSchema = z.object({
-  company: z.string().min(1),
-  role: z.string().optional(),
-  employment_type: z.string().optional().describe('정규직/계약직/인턴/프리랜서 등'),
-  start_date: z.string().optional().describe('YYYY-MM 또는 YYYY-MM-DD'),
-  end_date: z.string().optional().describe('재직 중이면 비워두기'),
+  company: reqLine,
+  role: optLine,
+  employment_type: z.string().max(MAX_LINE).optional().describe('정규직/계약직/인턴/프리랜서 등'),
+  start_date: z.string().max(MAX_LINE).optional().describe('YYYY-MM 또는 YYYY-MM-DD'),
+  end_date: z.string().max(MAX_LINE).optional().describe('재직 중이면 비워두기'),
   is_current: z.boolean().optional(),
-  description: z.string().optional(),
-  achievements: z.array(z.string()).optional().describe('성과/업적 (정량 지표 권장)'),
-  tech: z.array(z.string()).optional().describe('사용 기술/도구'),
+  description: optBody,
+  achievements: strList.optional().describe('성과/업적 (정량 지표 권장)'),
+  tech: strList.optional().describe('사용 기술/도구'),
   order_index: z.number().optional(),
 });
 export type ExperienceInput = z.infer<typeof ExperienceInputSchema>;
@@ -99,14 +154,14 @@ export type ExperienceRecord = z.infer<typeof ExperienceRecordSchema>;
 /* ------------------------------------------------------------------ Project */
 
 export const ProjectInputSchema = z.object({
-  name: z.string().min(1),
-  role: z.string().optional(),
-  description: z.string().optional(),
-  highlights: z.array(z.string()).optional(),
-  tech: z.array(z.string()).optional(),
-  url: z.string().optional(),
-  start_date: z.string().optional(),
-  end_date: z.string().optional(),
+  name: reqLine,
+  role: optLine,
+  description: optBody,
+  highlights: strList.optional(),
+  tech: strList.optional(),
+  url: SafeUrlOptional,
+  start_date: optLine,
+  end_date: optLine,
   order_index: z.number().optional(),
 });
 export type ProjectInput = z.infer<typeof ProjectInputSchema>;
@@ -128,9 +183,9 @@ export type ProjectRecord = z.infer<typeof ProjectRecordSchema>;
 /* -------------------------------------------------------------------- Skill */
 
 export const SkillInputSchema = z.object({
-  name: z.string().min(1),
-  category: z.string().optional().describe('언어/프레임워크/툴/소프트스킬 등'),
-  level: z.string().optional().describe('상/중/하 또는 자유 서술'),
+  name: reqLine,
+  category: z.string().max(MAX_LINE).optional().describe('언어/프레임워크/툴/소프트스킬 등'),
+  level: z.string().max(MAX_LINE).optional().describe('상/중/하 또는 자유 서술'),
   years: z.number().optional(),
   order_index: z.number().optional(),
 });
@@ -150,11 +205,11 @@ export type SkillRecord = z.infer<typeof SkillRecordSchema>;
 
 export const DocumentInputSchema = z.object({
   kind: z.enum(DOCUMENT_KINDS),
-  title: z.string().min(1),
-  content: z.string().describe('Markdown 또는 일반 텍스트 본문'),
+  title: reqLine,
+  content: reqBody.describe('Markdown 또는 일반 텍스트 본문'),
   source: z.enum(CONTENT_SOURCES).optional(),
   is_primary: z.boolean().optional().describe('대표 문서 여부'),
-  tags: z.array(z.string()).optional(),
+  tags: strList.optional(),
 });
 export type DocumentInput = z.infer<typeof DocumentInputSchema>;
 
@@ -172,21 +227,21 @@ export type DocumentRecord = z.infer<typeof DocumentRecordSchema>;
 /* -------------------------------------------------------------- CoverLetter */
 
 export const CoverLetterInputSchema = z.object({
-  title: z.string().min(1),
-  job_id: z.string().optional().describe('특정 공고에 연결할 경우'),
+  title: reqLine,
+  job_id: optLine.describe('특정 공고에 연결할 경우'),
   is_primary: z.boolean().optional(),
-  content: z.string().optional().describe('초기 버전 본문 (있으면 v1로 저장)'),
+  content: optBody.describe('초기 버전 본문 (있으면 v1로 저장)'),
   source: z.enum(CONTENT_SOURCES).optional(),
-  note: z.string().optional().describe('초기 버전 메모'),
+  note: optNote.describe('초기 버전 메모'),
 });
 export type CoverLetterInput = z.infer<typeof CoverLetterInputSchema>;
 
 export const CoverLetterVersionInputSchema = z.object({
-  cover_letter_id: z.string().optional().describe('기존 자기소개서에 새 버전 추가 시'),
-  title: z.string().optional().describe('새 자기소개서를 만들 때 제목'),
-  job_id: z.string().optional(),
-  content: z.string().min(1),
-  note: z.string().optional().describe('이 버전의 변경 요약 (예: 지원동기 보강)'),
+  cover_letter_id: optLine.describe('기존 자기소개서에 새 버전 추가 시'),
+  title: z.string().max(MAX_LINE).optional().describe('새 자기소개서를 만들 때 제목'),
+  job_id: optLine,
+  content: reqBody,
+  note: optNote.describe('이 버전의 변경 요약 (예: 지원동기 보강)'),
   source: z.enum(CONTENT_SOURCES).optional(),
   set_current: z.boolean().optional().describe('이 버전을 현재 버전으로 지정 (기본 true)'),
 });
@@ -218,16 +273,16 @@ export type CoverLetterRecord = z.infer<typeof CoverLetterRecordSchema>;
 /* --------------------------------------------------------------------- Job */
 
 export const JobInputSchema = z.object({
-  company: z.string().min(1),
-  position: z.string().min(1).describe('직무/포지션명'),
-  url: z.string().optional(),
-  location: z.string().optional(),
-  employment_type: z.string().optional(),
-  description: z.string().optional().describe('공고 원문 또는 정리된 텍스트'),
-  requirements: z.array(z.string()).optional().describe('자격요건/우대사항 핵심'),
-  keywords: z.array(z.string()).optional().describe('핵심 키워드'),
-  deadline: z.string().optional().describe('마감일 YYYY-MM-DD'),
-  source: z.string().optional().describe('출처 (사람인/원티드/직접 입력 등)'),
+  company: reqLine,
+  position: reqLine.describe('직무/포지션명'),
+  url: SafeUrlOptional,
+  location: optLine,
+  employment_type: optLine,
+  description: optBody.describe('공고 원문 또는 정리된 텍스트'),
+  requirements: strList.optional().describe('자격요건/우대사항 핵심'),
+  keywords: strList.optional().describe('핵심 키워드'),
+  deadline: z.string().max(MAX_LINE).optional().describe('마감일 YYYY-MM-DD'),
+  source: z.string().max(MAX_LINE).optional().describe('출처 (사람인/원티드/직접 입력 등)'),
 });
 export type JobInput = z.infer<typeof JobInputSchema>;
 
@@ -249,14 +304,14 @@ export type JobRecord = z.infer<typeof JobRecordSchema>;
 /* ------------------------------------------------------------- FitAnalysis */
 
 export const FitAnalysisInputSchema = z.object({
-  job_id: z.string().describe('분석 대상 공고 ID'),
+  job_id: reqLine.describe('분석 대상 공고 ID'),
   score: z.number().min(0).max(100).optional().describe('종합 적합도 0~100'),
-  summary: z.string().optional().describe('한두 문단 요약'),
-  strengths: z.array(z.string()).optional().describe('강점 / 잘 맞는 부분'),
-  gaps: z.array(z.string()).optional().describe('부족한 부분 / 보완 필요'),
-  matched_keywords: z.array(z.string()).optional(),
-  missing_keywords: z.array(z.string()).optional(),
-  recommendations: z.array(z.string()).optional().describe('자기소개서/지원 전략 제안'),
+  summary: z.string().max(MAX_NOTE).optional().describe('한두 문단 요약'),
+  strengths: strList.optional().describe('강점 / 잘 맞는 부분'),
+  gaps: strList.optional().describe('부족한 부분 / 보완 필요'),
+  matched_keywords: strList.optional(),
+  missing_keywords: strList.optional(),
+  recommendations: strList.optional().describe('자기소개서/지원 전략 제안'),
 });
 export type FitAnalysisInput = z.infer<typeof FitAnalysisInputSchema>;
 
@@ -276,20 +331,20 @@ export type FitAnalysisRecord = z.infer<typeof FitAnalysisRecordSchema>;
 /* ------------------------------------------------------------- Application */
 
 export const ApplicationInputSchema = z.object({
-  job_id: z.string(),
+  job_id: reqLine,
   status: z.enum(APPLICATION_STATUSES).optional(),
-  resume_id: z.string().optional(),
-  cover_letter_id: z.string().optional(),
-  applied_at: z.string().optional(),
-  notes: z.string().optional(),
+  resume_id: optLine,
+  cover_letter_id: optLine,
+  applied_at: optLine,
+  notes: optNote,
 });
 export type ApplicationInput = z.infer<typeof ApplicationInputSchema>;
 
 export const ApplicationStatusUpdateSchema = z.object({
-  job_id: z.string().optional(),
-  application_id: z.string().optional(),
+  job_id: optLine,
+  application_id: optLine,
   status: z.enum(APPLICATION_STATUSES),
-  note: z.string().optional().describe('상태 변경 사유/메모'),
+  note: optNote.describe('상태 변경 사유/메모'),
 });
 export type ApplicationStatusUpdate = z.infer<typeof ApplicationStatusUpdateSchema>;
 
@@ -307,28 +362,28 @@ export type ApplicationRecord = z.infer<typeof ApplicationRecordSchema>;
 /* ----------------------------------------------------------- InterviewPrep */
 
 export const StarGuideSchema = z.object({
-  question: z.string(),
-  situation: z.string().optional(),
-  task: z.string().optional(),
-  action: z.string().optional(),
-  result: z.string().optional(),
+  question: z.string().max(MAX_NOTE),
+  situation: optNote,
+  task: optNote,
+  action: optNote,
+  result: optNote,
 });
 export type StarGuide = z.infer<typeof StarGuideSchema>;
 
 export const InterviewQuestionSchema = z.object({
-  question: z.string(),
-  intent: z.string().optional().describe('질문 의도'),
-  followups: z.array(z.string()).optional().describe('예상 꼬리 질문'),
-  answer_outline: z.string().optional().describe('답변 가이드/핵심 포인트'),
+  question: z.string().max(MAX_NOTE),
+  intent: z.string().max(MAX_NOTE).optional().describe('질문 의도'),
+  followups: strList.optional().describe('예상 꼬리 질문'),
+  answer_outline: optBody.describe('답변 가이드/핵심 포인트'),
 });
 export type InterviewQuestion = z.infer<typeof InterviewQuestionSchema>;
 
 export const InterviewPrepInputSchema = z.object({
-  job_id: z.string(),
-  questions: z.array(InterviewQuestionSchema).optional(),
-  star_guides: z.array(StarGuideSchema).optional(),
-  self_introduction: z.string().optional().describe('1분 자기소개 초안'),
-  notes: z.string().optional().describe('면접 후기/메모'),
+  job_id: reqLine,
+  questions: z.array(InterviewQuestionSchema).max(MAX_ITEMS).optional(),
+  star_guides: z.array(StarGuideSchema).max(MAX_ITEMS).optional(),
+  self_introduction: optBody.describe('1분 자기소개 초안'),
+  notes: optNote.describe('면접 후기/메모'),
 });
 export type InterviewPrepInput = z.infer<typeof InterviewPrepInputSchema>;
 

package/packages/workflows/src/definitions.ts

@@ -29,10 +29,12 @@ export const WORKFLOWS: WorkflowDefinition[] = [
       '사용자가 처음 CareerMate에 연결했거나, "시작하자 / 셋업해줘 / 프로필 등록"이라고 요청할 때.',
     steps: [
       '`get_onboarding_status`를 호출해 현재 등록 상태(has_profile, has_resume, has_cover_letter, has_experience, has_skills, profile_completeness, next_steps)를 확인한다.',
-      '비어 있는 항목을 사용자에게 쉬운 한국어로 안내하고, 이력서/자기소개서 파일 업로드 또는 정보 입력을 요청한다.',
+      '비어 있는 항목을 사용자에게 쉬운 한국어로 안내하고, 먼저 "기존에 작성해 둔 이력서·경력기술서 파일이 있는지" 묻는다(hwp/docx/pdf 모두 가능).',
+      '파일 입력 분기: ① 사용자가 "파일이 있다"고 하면 `open_inbox`로 인입 폴더를 열어 파일을 넣게 하고, "다 넣었다"고 하면 `read_inbox`로 본문을 읽는다(pdf·이미지는 read_inbox가 경로만 주므로 클라이언트의 파일 읽기로 직접 읽는다). ② 사용자가 파일 경로를 직접 알려주면 `read_document`로 읽는다. ③ "없다/직접 입력/텍스트로 붙여넣기"면 폴더를 열지 말고 받은 텍스트를 그대로 쓴다. (묻지도 않고 open_inbox로 폴더를 자동으로 열지 않는다.)',
       '수집한 정보를 구조화해 `save_profile`로 저장한다(이름·연락처·headline·summary·desired_roles·desired_conditions, 그리고 글쓰기 선호인 preferred_tone과 emphasis_points 포함). 파일 출처는 source=upload, 직접 입력은 manual.',
       '업로드한 이력서/경력기술서/포트폴리오 본문을 `add_resume`로 저장한다(kind·title 지정, 대표 문서는 is_primary=true).',
-      '기존 자기소개서가 있으면 `add_cover_letter`로 저장한다(없으면 나중에 작성 가능함을 안내).',
+      '경력·프로젝트·스킬이 파악되면 `add_experience`·`add_project`·`add_skill`로 각각 저장한다(완성도의 has_experience/has_skills에 반영).',
+      '기존 자기소개서가 있으면 `save_cover_letter_version`으로 저장한다(title+content면 v1로 저장, 없으면 나중에 작성 가능함을 안내).',
       '`open_dashboard`를 호출해 사용자가 자기 데이터를 확인하게 한다.',
       '다시 `get_onboarding_status`로 완성도를 확인하고, 다음 단계(공고 분석 등)를 제안한다.',
     ],

package/scripts/build-demo.mjs

@@ -0,0 +1,130 @@
+// =============================================================================
+// build-demo.mjs — generate the no-server demo dashboard served at
+// careermate.life/demo.
+//
+// What it does:
+//   1. Copy apps/web/public/*  ->  install-page/demo/
+//   2. Rewrite root-absolute asset paths (/lib.js, /pages/, /styles.css, ...)
+//      to /demo/... so they resolve under the subpath. (/api/* is left alone —
+//      the shim intercepts those at runtime.)
+//   3. Copy the demo overlay (demo-shim.js, seed.js, demo.css) into install-page/demo/.
+//   4. Inject the shim + demo.css into the copied index.html, and a hint that
+//      this is a demo build.
+//
+// The generated install-page/demo/ folder is committed so Vercel (which serves
+// install-page/ statically) publishes it with no build step or config change.
+//
+// Run:  node scripts/build-demo.mjs
+//
+// Note: avoids fs.rmSync(recursive) — it hard-crashes on Node 25 / Windows
+// (see project memory). Uses a manual recursive remove instead.
+// =============================================================================
+import fs from 'node:fs';
+import path from 'node:path';
+import { fileURLToPath } from 'node:url';
+
+const __dirname = path.dirname(fileURLToPath(import.meta.url));
+const ROOT = path.resolve(__dirname, '..');
+const SRC = path.join(ROOT, 'apps', 'web', 'public');
+const OVERLAY = path.join(ROOT, 'apps', 'web', 'demo');
+const OUT = path.join(ROOT, 'install-page', 'demo');
+
+const TEXT_EXT = new Set(['.html', '.js', '.css', '.svg', '.json', '.txt', '.md']);
+
+/** Manual recursive delete (Node-25-safe; fs.rmSync recursive crashes there). */
+function rimraf(target) {
+  let st;
+  try { st = fs.lstatSync(target); } catch { return; }
+  if (st.isDirectory()) {
+    for (const entry of fs.readdirSync(target)) rimraf(path.join(target, entry));
+    fs.rmdirSync(target);
+  } else {
+    fs.unlinkSync(target);
+  }
+}
+
+/** Rewrite root-absolute references to assets so they work under /demo/. */
+function rewritePaths(code) {
+  return code
+    // import/href/src strings: '/lib.js', "/app.js", '/styles.css', '/icon-180.png'
+    .replace(/(['"`])\/(lib\.js|app\.js|styles\.css|icon-180\.png)/g, '$1/demo/$2')
+    // directories referenced as '/pages/...' or '/fonts/...' (JS/HTML)
+    .replace(/(['"`])\/(pages|fonts)\//g, '$1/demo/$2/')
+    // CSS url(/fonts/...) — with or without quotes
+    .replace(/url\(\s*(['"]?)\/fonts\//g, 'url($1/demo/fonts/');
+}
+
+function copyTree(src, out) {
+  fs.mkdirSync(out, { recursive: true });
+  for (const entry of fs.readdirSync(src, { withFileTypes: true })) {
+    const from = path.join(src, entry.name);
+    const to = path.join(out, entry.name);
+    if (entry.isDirectory()) { copyTree(from, to); continue; }
+    const ext = path.extname(entry.name).toLowerCase();
+    if (TEXT_EXT.has(ext)) {
+      fs.writeFileSync(to, rewritePaths(fs.readFileSync(from, 'utf8')));
+    } else {
+      fs.copyFileSync(from, to);
+    }
+  }
+}
+
+function injectDemo(htmlPath) {
+  let html = fs.readFileSync(htmlPath, 'utf8');
+
+  // Pre-paint theme resolver — same key/default as the marketing site so the
+  // theme is shared and there's no flash (FOUC) before app.js runs.
+  const themeScript =
+    '\n  <!-- Resolve the saved theme before first paint (shared with the marketing site; default dark). -->\n' +
+    '  <script>\n' +
+    '    (function () {\n' +
+    "      try {\n" +
+    "        var t = window.localStorage.getItem('careermate-theme') || window.localStorage.getItem('cf-theme');\n" +
+    "        document.documentElement.setAttribute('data-theme', t === 'light' || t === 'dark' ? t : 'dark');\n" +
+    "      } catch (e) { document.documentElement.setAttribute('data-theme', 'dark'); }\n" +
+    '    })();\n' +
+    '  </script>';
+  html = html.replace(
+    '<meta name="viewport" content="width=device-width, initial-scale=1" />',
+    '<meta name="viewport" content="width=device-width, initial-scale=1" />' + themeScript,
+  );
+
+  // demo.css after the dashboard stylesheet
+  html = html.replace(
+    '<link rel="stylesheet" href="/demo/styles.css" />',
+    '<link rel="stylesheet" href="/demo/styles.css" />\n  <link rel="stylesheet" href="/demo/demo.css" />',
+  );
+
+  // Shim must run before app.js. Both are ES modules; module scripts execute in
+  // document order, so placing the shim immediately before app.js guarantees the
+  // fetch patch is installed before any page code calls it.
+  html = html.replace(
+    '<script type="module" src="/demo/app.js"></script>',
+    '<script type="module" src="/demo/demo-shim.js"></script>\n  <script type="module" src="/demo/app.js"></script>',
+  );
+
+  // Title hint so the browser tab reads as a demo.
+  html = html.replace(
+    '<title>CareerMate — 내 커리어 흐름 관리</title>',
+    '<title>CareerMate 데모 — 대시보드 미리보기</title>',
+  );
+
+  fs.writeFileSync(htmlPath, html);
+}
+
+/* ------------------------------------------------------------------- run */
+console.log('· clearing', path.relative(ROOT, OUT));
+rimraf(OUT);
+
+console.log('· copying dashboard', path.relative(ROOT, SRC), '->', path.relative(ROOT, OUT));
+copyTree(SRC, OUT);
+
+console.log('· copying demo overlay');
+for (const f of ['demo-shim.js', 'seed.js', 'demo.css']) {
+  fs.copyFileSync(path.join(OVERLAY, f), path.join(OUT, f));
+}
+
+console.log('· injecting shim + styles into index.html');
+injectDemo(path.join(OUT, 'index.html'));
+
+console.log('✓ demo built at', path.relative(ROOT, OUT), '— serve install-page/ and open /demo');

package/scripts/build-dist.mjs

@@ -67,11 +67,36 @@ async function main() {
   // install-page/careermate.mcpb 는 공개 사이트(careermate.life)의 다운로드 산출물일 뿐,
   // 번들 대시보드의 /install/ 라우트에는 필요 없다. 이걸 dist로 들이면 .mcpb 빌드가 직전
   // 번들(자기 자신, ~6MB)을 다시 접어 넣어 매 빌드마다 용량이 불어난다(자기참조). 제외한다.
+  // install-page/demo 는 공개 사이트(careermate.life/demo) 전용 미리보기다. 자산 경로가
+  // /demo/ 로 재작성돼 있어 번들 대시보드의 /install/ 라우트에서는 동작하지 않고, 폰트까지
+  // 포함해 ~2.5MB를 헛되이 키운다. dist에서 제외한다.
+  const demoDir = path.join(ROOT, 'install-page', 'demo');
   fs.cpSync(path.join(ROOT, 'install-page'), path.join(DIST, 'install-page'), {
     recursive: true,
-    filter: (src) => path.basename(src) !== 'careermate.mcpb',
+    filter: (src) => {
+      const base = path.basename(src);
+      // OMC/OMX 오케스트레이션 상태(세션ID·리플레이 로그)는 사용자에게 불필요하고
+      // 게시 tarball로 새면 안 된다. install-page에 남아 있어도 dist→npm에는 제외한다.
+      if (base === '.omc' || base === '.omx') return false;
+      return base !== 'careermate.mcpb' && src !== demoDir;
+    },
   });
 
+  // pdfjs 워커 사이드카: pdf.mjs는 번들에 인라인되지만, 워커는 런타임에 별도 파일로
+  // 동적 로드된다(메인스레드 fake worker). 번들 옆에 복사해 두고 documents.ts가
+  // workerSrc로 가리킨다. 이게 없으면 PDF 추출 시 "fake worker" 로드가 실패한다.
+  // (node_modules가 없는 .mcpb 배포에서도 PDF가 동작하도록 dist에 자기완결로 동봉.)
+  const pdfWorker = path.join(ROOT, 'node_modules', 'pdfjs-dist', 'legacy', 'build', 'pdf.worker.min.mjs');
+  if (!fs.existsSync(pdfWorker)) {
+    // 경고로 넘기면 워커 없는 번들이 조용히 게시되고 런타임에 모든 PDF 추출이 깨진다(빌드는 초록).
+    // 빌드를 실패시켜 누락을 게시 전에 드러낸다. pdfjs 업그레이드로 워커 경로가 바뀌면 여기서 잡힌다.
+    throw new Error(
+      `pdfjs 워커를 찾지 못했습니다: ${pdfWorker}\n` +
+        `pdfjs-dist가 설치됐는지, 워커 파일명/경로가 바뀌지 않았는지 확인하세요(PDF 추출의 필수 자산).`,
+    );
+  }
+  fs.copyFileSync(pdfWorker, path.join(DIST, 'pdf.worker.min.mjs'));
+
   console.log('✅ dist 빌드 완료: dist/mcp.mjs, dist/web.mjs, dist/doctor.mjs, dist/migrate.mjs, dist/public, dist/install-page');
 }
 

package/scripts/doctor.ts

@@ -10,7 +10,7 @@ import {
   profileRepo, experienceRepo, projectRepo, skillRepo, documentRepo,
   coverLetterRepo, jobRepo, applicationRepo, interviewRepo,
 } from '@careermate/db';
-import { TOOLS } from '@careermate/mcp-tools';
+import { TOOLS, getUpdateStatusAsync } from '@careermate/mcp-tools';
 
 const ok = (s: string) => console.log(`  ✅ ${s}`);
 const warn = (s: string) => console.log(`  ⚠️  ${s}`);
@@ -24,7 +24,7 @@ function checkNode(): boolean {
   return good;
 }
 
-function main(): void {
+async function main(): Promise<void> {
   console.log('\nCareerMate 상태 점검\n' + '─'.repeat(40));
 
   const nodeOk = checkNode();
@@ -68,6 +68,16 @@ function main(): void {
   // MCP tools
   ok(`MCP 도구 ${TOOLS.length}개 등록됨`);
 
+  // Update available?
+  try {
+    const u = await getUpdateStatusAsync();
+    if (u.latest === null) info(`버전 v${u.current} (업데이트 확인 생략 — 오프라인이거나 일시적 오류)`);
+    else if (u.update_available) warn(`새 버전 v${u.latest} 있음 (현재 v${u.current}). 업데이트: ${u.update_command}`);
+    else ok(`최신 버전 v${u.current}`);
+  } catch {
+    /* 업데이트 확인 실패는 점검을 막지 않는다. */
+  }
+
   // Dashboard running?
   const rt = readRuntimeInfo();
   if (rt && isProcessAlive(rt.pid)) ok(`대시보드 실행 중: ${rt.url}`);
@@ -78,4 +88,7 @@ function main(): void {
   process.exit(nodeOk && dbOk ? 0 : 1);
 }
 
-main();
+main().catch((e) => {
+  console.error(e instanceof Error ? e.message : e);
+  process.exit(1);
+});

package/scripts/gen-og.mjs

@@ -46,7 +46,7 @@ const ogHtml = `<!doctype html><meta charset="utf-8"><style>
     <div class="h">내 <span class="accent">AI</span>를<br>나만의 <span class="accent">커리어 비서</span>로</div>
     <div class="sub">이력서·자기소개서·지원 현황을 이 컴퓨터 안에서 관리하세요.<br>분석·글쓰기는 평소 쓰던 AI가, 데이터 보관은 CareerMate가.</div>
   </div>
-  <div class="pill"><span class="dot"></span>로컬 전용 · MCP · 오픈소스</div>
+  <div class="pill"><span class="dot"></span>로컬 전용 · MCP · 무료</div>
 </div>`;
 
 const iconHtml = (size) => `<!doctype html><meta charset="utf-8"><style>

package/scripts/test.ts

@@ -107,6 +107,31 @@ ok('MCP가 API의 수정(한 줄 소개)을 즉시 봄 (←)', pr.profileHeadlin
 ok('MCP save_job_posting', !!pr.jobId);
 ok('대시보드(API)가 MCP가 저장한 공고를 봄 (→)', (await json('GET', '/api/jobs')).jobs.some((j: any) => j.id === pr.jobId));
 
+/* --------------------------------------------- 5. 내보내기 HTML 인젝션 차단 (회귀) */
+// Cover-letter/resume bodies are user/agent text rendered into exported .html
+// (opened in a browser → live XSS surface). markdownToHtml MUST neutralize raw
+// HTML and dangerous link schemes. These assertions lock that property so a
+// future refactor of the markdown renderer can't silently reintroduce XSS.
+section('5) 내보내기 HTML 인젝션 차단 (회귀)');
+const { markdownToHtml } = await import('../packages/exporters/src/markdown.ts');
+const { toPrintableHtml } = await import('../packages/exporters/src/html.ts');
+
+const imgPayload = markdownToHtml('<img src=x onerror="alert(1)">');
+ok('raw <img onerror> 무력화', !imgPayload.includes('<img') && imgPayload.includes('&lt;img') && !imgPayload.includes('onerror="alert'));
+
+const scriptPayload = markdownToHtml('<script>alert(1)</script>');
+ok('raw <script> 무력화', !scriptPayload.includes('<script>') && scriptPayload.includes('&lt;script&gt;'));
+
+const jsLink = markdownToHtml('[클릭](javascript:alert(1))');
+ok('javascript: 링크 차단(→ #)', jsLink.includes('href="#"') && !jsLink.toLowerCase().includes('javascript:'));
+
+// Attribute-breakout attempt: a quote inside an otherwise-valid https URL.
+const breakout = markdownToHtml('[x](https://a.com" onmouseover="alert(1))');
+ok('링크 속성 탈출 차단', !breakout.includes('onmouseover="alert') && breakout.includes('&quot;'));
+
+const titleInj = toPrintableHtml('</title><script>alert(1)</script>', '본문');
+ok('내보내기 제목 인젝션 차단', !titleInj.includes('<script>') && !titleInj.includes('</title><script>'));
+
 console.log(`\n${'='.repeat(40)}`);
 console.log(`결과: ${pass} 통과 · ${fail} 실패`);
 console.log(fail === 0 ? '✅ 전체 통과' : '❌ 실패 있음');