careermate 0.1.2 → 0.1.4

package/docs/career-os/knowledge/verifiers/truthfulness.md

@@ -0,0 +1,67 @@
+# 진실성 / 날조 방지 (Anti-fabrication) — CareerMate 교차검증 루브릭 (Phase A)
+
+> 이 검증기는 연결된 AI가 커리어 산출물(이력서·자소서·면접 답변·LinkedIn 등)을 점검할 때 적용하는 **크리틱 루브릭**이다. CareerMate는 루브릭을 제공하고, 실제 검사는 연결된 AI가 수행한다(내부 LLM 없음).
+
+## 1. 목적
+
+이 검증기는 **모든 커리어 산출물의 모든 사실 주장이 사용자의 저장된 데이터로 추적 가능함**을 보장한다. 즉, 산출물 안의 숫자·직함·회사·기간·학력·자격증·기술 숙련도·고유명사가 (a) 저장된 프로필/경력/이력서/자소서 데이터에 직접 존재하거나, (b) 그 저장 데이터에서 **명시적 산술 파생**(차·합·비율 환산)으로 나온 것이어야 한다는 뜻이다. 그 밖의 모든 사실 주장은 날조(fabrication) 또는 미검증(unverified)으로 분류해 차단하거나 `[확인 필요]`로 표시한다.
+
+이 검증기가 막으려는 4가지 실패 모드:
+- **날조(fabrication):** 없는 사실을 만들어냄(존재하지 않은 회사·직함·자격증, 지어낸 수치).
+- **과장(inflation):** 있는 사실을 부풀림(직함 격상, 팀 성과를 개인 성과로 귀속, "참여"를 "주도"로).
+- **미검증 정밀도(false precision):** 저장 데이터에 근거 없는 구체 수치("매출 37% 증가")를 생성.
+- **갭 은폐(gap concealment):** 모르는 것을 모른다고 하지 않고 빈칸을 그럴듯하게 메움.
+
+> 경계 원칙: **표현을 강하게 다듬는 것(action verb·두괄식·정량화)은 허용, 사실을 바꾸는 것은 금지.** 강한 동사로 쓰되 동사가 가리키는 행위·결과는 저장 데이터와 일치해야 한다. 이 검증기는 사람처럼 쓰기(`human-writing.md`)의 "Fact lock(R7)" 신호를 **전 산출물·전 사실유형으로 확장한 전용 게이트**다.
+
+핵심 제약상 한국어 NER·실세계 사실확인은 결정론으로 100% 셀 수 없다. 따라서 항목을 **(가) LLM 없이 셀 수 있는 결정론 게이트**와 **(나) 연결된 AI가 수행하는 대조 판정**으로 나눠 설계하고, 각 항목에 어느 쪽인지 표시한다.
+
+## 2. 검사 항목
+
+표기: **[det]** = CareerMate가 LLM 없이 셀 수 있는 결정론 체크(개수·존재·정규식·비율). **[ai]** = 연결된 AI가 저장 데이터와 대조해 판정(개수로 환원해 보고).
+
+| ID | 검사 | 합격 기준 | 측정 방법(셀 수 있게) |
+|----|------|-----------|------------------------|
+| C1 **[ai]** | **수치 앵커링** — 산출물의 모든 정량 주장(숫자+단위/%, 금액, 인원, 기간)이 저장 데이터에 존재하거나 거기서 산술 파생되는가 | 미앵커 수치 = **0** | 정규식 `\d[\d,.]*\s*(%|억|만|원|명|건|배|개월|년|시간|ms|x|배)` 등으로 산출물의 수치 토큰 수 `N_total`를 센다 → AI가 각 토큰을 저장값 또는 파생식에 매핑 → 매핑 실패 수 `N_unanchored` 보고. 합격 = `N_unanchored == 0` |
+| C2 **[ai]** | **고유명사 화이트리스트** — 회사명·기관·제품·기술스택·인명이 저장 데이터(프로필/경력/이력서/스킬)에 존재하는가 | 화이트리스트 밖 고유명사 = **0** | 저장 데이터에서 고유명사 집합 `W`를 추출(set) → 산출물의 고유명사 후보를 `W`와 대조 → `W`에 없는 항목 수 보고. 일반어·직무 일반명사는 제외 |
+| C3 **[ai]** | **직함·고용형태 일치** — 진술된 직함/고용형태(정규직·인턴·계약·프리랜서·동아리)가 저장 직함과 동일하거나 더 낮은 책임 수준인가 | 격상된 직함 = **0** | 저장 직함 문자열과 산출물 직함을 1:1 대조 → 불일치 건수, 그중 "격상"(예: 인턴→주니어, 팀원→팀장, 계약→정규) 건수 보고. 합격 = 격상 0 |
+| C4 **[ai]** | **귀속(attribution) 정확성** — 팀 성과를 1인칭 단독 성과로 바꾸지 않았는가 | 부당 단독귀속 = **0** | "주도/총괄/혼자/단독/led/owned" 류 1인칭 단독 동사 출현 수를 센 뒤, 각각에 대해 저장 데이터가 단독 역할을 뒷받침하는지 AI가 판정 → 미뒷받침 건수 보고 |
+| C5 **[ai]** | **학력·자격·점수 정확성** — 학위/전공/졸업여부/자격증/어학·시험 점수가 저장값과 정확히 일치하는가 | 불일치 = **0** | 저장된 학력·자격·점수 필드와 산출물 토큰을 정확 일치(점수는 값까지) 대조 → 불일치 건수 보고. "더 유명한 학교/상위 학위/미취득을 취득"으로의 변경은 critical |
+| C6 **[ai]** | **숙련도 정직성** — 기술 숙련 표현(전문가/마스터/능숙/숙련/expert)이 저장 근거(연차·프로젝트·산출물)와 모순되지 않는가 | 근거 없는 최상급 = **0** | "전문가/마스터/완벽/모든/항상/expert/mastery" 류 최상급·절대표현 출현 수를 센 뒤, 저장 근거 유무를 AI가 판정 → 근거 없는 건수 보고 |
+| C7 **[det]** | **갭 표식 보존** — AI가 만든 `[확인 필요]`/플레이스홀더가 최종본에 임의의 그럴듯한 값으로 치환되지 않았는가 | 빈칸을 지어낸 값으로 채운 흔적 = **0** | 직전 초안의 `[확인 필요]`·`{{ }}`·`___` 개수 `P_before`와 최종본 개수 `P_after` 비교. `P_after < P_before`이면 그 차이만큼 AI가 "저장 근거로 채움 vs 지어냄"을 보고. 미설명 감소 = 불합격 |
+| C8 **[ai]** | **파생연산 검증** — 산출물의 비율/증감 환산(예: "월12건→월2건 = 83% 감소")이 저장 입력값으로 실제 계산되는가 | 계산 오류·근거 없는 파생 = **0** | 파생 표현마다 `(입력값, 식, 결과)` 3요소를 추출 → 산술 재계산이 일치하는 건수/불일치 건수 보고 |
+| C9 **[ai]** | **시간선 정합성** — 날짜·기간·근속이 저장 경력 타임라인과 모순되지 않는가(미래일자·중복재직·음수기간 없음) | 시간선 모순 = **0** | 산출물의 날짜·기간 토큰을 저장 타임라인과 대조 → 중복재직/미래시작/기간>실재직 같은 모순 건수 보고 |
+| C10 **[det]** | **추적성 비율(traceability)** — 검증 대상이 된 전체 사실 주장 중 저장 데이터로 매핑된 비율 | 추적성 = **100%** (= 미앵커 0) | `traceability = (N_total_claims − N_unanchored − N_unverified) / N_total_claims`. C1·C2·C5의 합산 분모로 계산해 단일 수치로 보고. 1.0 미만이면 불합격 |
+
+> critical 등급: C1·C2·C3·C5(없는 사실/격상/학력 위조)는 **단 1건이라도** 발견 시 전체 산출물을 불합격 처리한다. C4·C6·C8·C9는 건수 누적으로 판단하되 0을 목표로 한다. C7·C10은 게이트(전부 통과해야 합격).
+
+## 3. 불합격 시 처리(루프 연결)
+
+연결된 AI는 아래 순서로 **수정 → 재검증**한다. 재검증은 동일 루브릭 전 항목을 다시 돌려 **C1·C2·C3·C5 = 0 이고 C10 = 1.0** 일 때만 통과로 본다.
+
+1. **분류 먼저, 삭제·치환은 다음.** 각 불합격 토큰을 (a) 날조 (b) 과장 (c) 미검증 정밀도 (d) 갭은폐 중 하나로 라벨링한다.
+2. **(a) 날조 → 삭제.** 저장 근거가 0인 회사·직함·수치·자격증은 문장째 삭제하거나, 저장된 실제 사실로 교체한다. 지어내서 채우지 않는다.
+3. **(b) 과장 → 하향 정렬.** 직함·귀속·숙련도를 저장 데이터 수준으로 되돌린다(팀장→팀원, 주도→참여, 전문가→"3년 사용"). 표현은 강하게 두되 **사실 레벨만** 내린다.
+4. **(c) 미검증 정밀도 → 일반화 또는 표식.** 근거 없는 "37%"는 (저장값이 있으면) 정확값으로 바꾸고, 없으면 정성 표현("크게 단축")으로 일반화하거나 `[확인 필요: 수치 출처]`로 표시한다. 추측 수치를 남기지 않는다.
+5. **(d) 갭 은폐 → 정직한 표식 복원.** 지어낸 빈칸 채움을 `[확인 필요]`로 되돌리고, 사용자에게 해당 사실을 **쉬운 한국어로** 질문한다(직함·기술 용어 노출 금지). 사용자가 값을 주면 저장 도구로 보관 후 반영한다.
+6. **재검증 게이트.** 수정본을 다시 C1~C10에 통과시킨다. critical 4종 중 하나라도 남으면 루프를 반복한다. 2회 반복 후에도 미앵커가 남으면, 해당 문장을 산출물에서 보류하고 사용자에게 확인을 요청한다(무한정 생성 금지).
+7. **저장.** 통과한 산출물만 저장 도구(`save_cover_letter_version`·`save_fit_analysis`·`save_interview_prep` 등)로 보관한다. 검증 결과 요약(미앵커 0, traceability=1.0)을 산출물 메타에 함께 남긴다.
+
+## 4. 출처 (Provenance)
+
+- **STAR (Situation-Task-Action-Result)** — 행동을 검증 가능한 결과로 환원하는 표준 프레임워크. "성과를 과장하면 STAR로 풀어 쓰기 어려워 거짓이 드러난다"는 점에서 진실성 게이트와 직결. · Monster Career Advice, "How to Create a STAR Method Resume" https://www.monster.com/career-advice/resume/star-method-resume · Resume Genius, "STAR Method Resume" https://resumegenius.com/blog/resume-help/star-method-resume
+- **정량화·임팩트 중심·"YOUR contribution(팀 아닌 본인)"** — 귀속 정확성(C4)과 정량 앵커링(C1)의 1차 근거. · Yale Office of Career Strategy, "Writing Impactful Resume Bullets" https://ocs.yale.edu/resources/writing-impactful-resume-bullets/ · Harvard FAS Mignone Center, "Create a Strong Resume" https://careerservices.fas.harvard.edu/resources/create-a-strong-resume/ · UC Berkeley Career Engagement, "Resumes" https://career.berkeley.edu/prepare-for-success/resumes/
+- **윤리적 강화 vs 비윤리적 날조의 경계** — 직함 격상·경력 날조·성과 인플레·자격 위조를 비윤리로 명시. C2·C3·C5·C6의 근거. · MyResumee, "The Ethics of Resume Enhancements and Where to Draw the Line" https://www.myresumee.com/blog/ree-the-ethics-of-resume-enhancements-and-where-to-draw-the-line
+- **이력서 거짓의 실태·적발·결과(통계)** — 검증 게이트의 필요성 근거. 2024 StandOutCV 설문 64.2%가 이력서에 거짓 기재 / 적발 시 41% 채용 취소·18% 해고. 거짓 유형: 미보유 스킬 숙련 주장(60%), 직함 변경(41%), 더 유명한 대학 주장(39%) → C5·C6 설계의 직접 근거. Gartner: 2028년까지 글로벌 지원자 프로필 4건 중 1건이 완전 가짜 전망. · Shortlister, "40+ Background Check Statistics in 2025" https://www.myshortlister.com/insights/background-check-statistics · Avvanz, "Resume Fraud in 2026" https://www.avvanz.com/blog/resume-fraud-2026-employer-prevention
+- **CareerMate 프라임 디렉티브 / Fact-lock** — "두뇌는 연결된 AI, 저장은 CareerMate. 숫자·고유명사·직함은 입력 그대로 보존, 명시적 산술 파생만 허용, 모르면 `[확인 필요]`." C1·C7·C8의 내부 근거. · CareerMate `AGENTS.md`; `docs/career-os/knowledge/human-writing.md`(R7 Fact lock)
+
+## 5. Phase B 힌트
+
+- **MCP 도구 아이디어:**
+  - `get_verifier({ id: "truthfulness" })` — 이 루브릭(JSON: 항목·합격기준·det/ai 플래그·정규식 패턴·critical 등급)을 연결된 AI에게 그대로 serve.
+  - `get_fact_anchors({ scope })` — 저장 데이터에서 **앵커 집합**을 미리 추출해 제공: `{ numbers[], proper_nouns[](회사·기관·기술·인명), titles[], credentials[], timeline[] }`. C1·C2·C3·C5·C9의 화이트리스트로 직접 사용.
+  - `check_traceability({ artifact_id })` — det 항목(C7 갭표식 카운트, C10 추적성 비율, 정규식 수치/날짜 토큰 카운트)을 CareerMate가 LLM 없이 계산해 `{ N_total, N_unanchored, traceability, placeholder_delta }` 반환.
+- **데이터 형태 힌트:**
+  - 앵커 집합은 `set`(정확매칭용)과 정규화 함수(콤마/단위/한글수사: `1,200ms==1200ms`, `12만==120000`)를 함께 제공해 거짓양성 감소.
+  - 산출물 메타에 `verification: { rubric: "truthfulness", critical_failures: 0, traceability: 1.0, checked_at }`를 저장해 상태 게이팅(`applied` 이상 전환 전 통과 필수) 및 대시보드 표시에 활용.
+  - 초안 버전 간 `placeholder_delta`(C7)를 추적하려면 `save_cover_letter_version`이 직전 버전 참조를 보관해야 한다(빈칸 치환 감지용).

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "careermate",
-  "version": "0.1.2",
+  "version": "0.1.4",
   "type": "module",
   "description": "CareerMate — an MCP-first, local-first career workspace. Connect it to a local AI agent (Claude Desktop, Claude Code, Codex); CareerMate stores your career data locally on your machine and exposes it over MCP.",
   "license": "MIT",
@@ -29,10 +29,18 @@
     "apps",
     "packages",
     "scripts",
-    "docs",
     "tsconfig.json",
     "README.md",
-    "THIRD_PARTY_NOTICES.md"
+    "THIRD_PARTY_NOTICES.md",
+    "AGENTS.md",
+    "docs/career-os/README.md",
+    "docs/career-os/eop",
+    "docs/career-os/knowledge",
+    "docs/START_WORKFLOW.md",
+    "docs/WORKFLOWS.md",
+    "docs/MCP_TOOLS.md",
+    "docs/FAQ.md",
+    "docs/SUPPORTED_AI_APPS.md"
   ],
   "engines": {
     "node": ">=22.5.0"

package/packages/db/src/repositories.ts

@@ -859,7 +859,24 @@ export const activityRepo = {
  */
 export function getEntityCounts(): Record<string, number> {
   const db = getDb();
-  const c = (t: string): number => (db.prepare(`SELECT COUNT(*) AS n FROM ${t}`).get() as { n: number }).n;
+  // Table names are hardcoded below, but the name is interpolated into SQL, so
+  // guard with an allowlist as defense-in-depth: a future caller can never turn
+  // this into an injection sink even if `t` were sourced from elsewhere.
+  const ALLOWED_TABLES = new Set([
+    'profile',
+    'experiences',
+    'projects',
+    'skills',
+    'documents',
+    'cover_letters',
+    'jobs',
+    'applications',
+    'interview_preps',
+  ]);
+  const c = (t: string): number => {
+    if (!ALLOWED_TABLES.has(t)) throw new Error(`getEntityCounts: 허용되지 않은 테이블 이름: ${t}`);
+    return (db.prepare(`SELECT COUNT(*) AS n FROM ${t}`).get() as { n: number }).n;
+  };
   return {
     profile: c('profile'),
     experiences: c('experiences'),

package/packages/mcp-tools/src/tools.ts

@@ -22,6 +22,7 @@ import {
   FitAnalysisInputSchema,
   CoverLetterVersionInputSchema,
   InterviewPrepInputSchema,
+  DocumentInputSchema,
   APPLICATION_STATUSES,
   APPLICATION_STATUS_LABELS,
   DOCUMENT_KINDS,
@@ -272,13 +273,12 @@ export const TOOLS: ToolDef[] = [
     title: '이력서/경력기술서 추가',
     description:
       '이력서, 경력기술서, 포트폴리오 등 문서를 저장합니다. content에는 사용자가 업로드/붙여넣은 텍스트(또는 정리한 Markdown)를 넣으세요. kind 기본값은 resume입니다. is_primary=true로 대표 문서를 지정하면 get_application_context의 primary_resume로 노출됩니다.',
+    // Reuse the shared (length-bounded, whitespace-rejecting) Document schema so
+    // the MCP ingestion path — the primary route for résumé text — inherits the
+    // same caps as the web API. kind stays optional here (defaults to resume).
     inputSchema: {
-      title: z.string().describe('문서 제목'),
-      content: z.string().describe('본문 (Markdown/일반 텍스트)'),
+      ...DocumentInputSchema.omit({ kind: true }).shape,
       kind: z.enum(DOCUMENT_KINDS).optional().describe('resume(이력서)/career_description(경력기술서)/portfolio/other'),
-      source: z.enum(CONTENT_SOURCES).optional(),
-      is_primary: z.boolean().optional().describe('대표 문서 여부'),
-      tags: z.array(z.string()).optional(),
     },
     handler: (args) => {
       const doc = addResume(args);

package/packages/parsers/src/documents.ts

@@ -427,9 +427,21 @@ async function finishPdf(buf: Buffer, base: BaseFn): Promise<ExtractDocumentResu
       });
     return base('pdf', { text, bytes: buf.length, warnings: pageWarnings });
   } catch (e) {
+    // pdfjs throws a named PasswordException for password-protected PDFs — give
+    // a distinct, actionable hint instead of the generic "corrupted or encrypted".
+    const name = e && typeof e === 'object' && 'name' in e ? String((e as { name?: unknown }).name) : '';
+    if (name === 'PasswordException') {
+      return base('unsupported', {
+        bytes: buf.length,
+        warnings: [
+          '이 PDF는 암호(비밀번호)로 보호되어 있어 읽을 수 없습니다. PDF 뷰어에서 암호를 해제해 다시 저장하거나, 내용을 텍스트로 붙여넣어 주세요.',
+        ],
+        unsupported: true,
+      });
+    }
     return base('unsupported', {
       bytes: buf.length,
-      warnings: [`PDF를 읽지 못했습니다(${errMsg(e)}). 암호화되었거나 손상된 PDF일 수 있습니다. 텍스트로 붙여넣어 주세요.`],
+      warnings: [`PDF를 읽지 못했습니다(${errMsg(e)}). 손상되었거나 지원하지 않는 PDF일 수 있습니다. 텍스트로 붙여넣어 주세요.`],
       unsupported: true,
     });
   }

package/packages/shared/src/schemas.ts

@@ -35,12 +35,46 @@ function isSafeUrl(u: string): boolean {
   return !/^[a-z][a-z0-9+.-]*:/i.test(s) || /^(https?:|mailto:)/i.test(s);
 }
 const UNSAFE_URL_MSG = 'javascript: 같은 위험한 링크는 사용할 수 없습니다. http(s) 링크를 사용하세요.';
-const SafeUrl = z.string().min(1).refine(isSafeUrl, { message: UNSAFE_URL_MSG });
+const MAX_URL = 2_000;
+const SafeUrl = z.string().min(1).max(MAX_URL).refine(isSafeUrl, { message: UNSAFE_URL_MSG });
 const SafeUrlOptional = z
   .string()
+  .max(MAX_URL)
   .optional()
   .refine((u) => u == null || u === '' || isSafeUrl(u), { message: UNSAFE_URL_MSG });
 
+/**
+ * Length-bounded string helpers. MCP/HTTP inputs are otherwise unbounded, so a
+ * malicious or buggy client could send multi-MB strings to exhaust memory/disk.
+ * These caps are generous for real résumés/cover letters but reject abuse.
+ *  - LINE : single-line fields (names, titles, locations)
+ *  - NOTE : short multi-line fields (summaries, notes)
+ *  - BODY : full document bodies (resume / cover letter / job description)
+ *  - ITEM : one array element;  ITEMS : array length
+ */
+const MAX_LINE = 500;
+const MAX_NOTE = 10_000;
+const MAX_BODY = 200_000;
+const MAX_ITEM = 2_000;
+const MAX_ITEMS = 500;
+const EMPTY_MSG = '내용이 비어 있습니다(공백만으로는 저장할 수 없습니다).';
+
+/** Required single-line value: rejects whitespace-only, trims, bounds length. */
+const reqLine = z.string().trim().min(1).max(MAX_LINE);
+/** Optional single-line value (bounded). */
+const optLine = z.string().max(MAX_LINE).optional();
+/** Optional short multi-line note (bounded). */
+const optNote = z.string().max(MAX_NOTE).optional();
+/** Optional full document body (bounded). */
+const optBody = z.string().max(MAX_BODY).optional();
+/** Required full document body: bounded, rejects whitespace-only (no trim — preserve formatting). */
+const reqBody = z
+  .string()
+  .max(MAX_BODY)
+  .refine((s) => s.trim().length > 0, { message: EMPTY_MSG });
+/** Bounded array of bounded strings. */
+const strList = z.array(z.string().max(MAX_ITEM)).max(MAX_ITEMS);
+
 const baseRecord = {
   id,
   created_at: isoDateTime,
@@ -50,23 +84,23 @@ const baseRecord = {
 /* ------------------------------------------------------------------ Profile */
 
 export const LinkSchema = z.object({
-  label: z.string().min(1),
+  label: reqLine,
   url: SafeUrl,
 });
 export type Link = z.infer<typeof LinkSchema>;
 
 export const ProfileInputSchema = z.object({
-  name: z.string().min(1).optional(),
-  email: z.string().optional(),
-  phone: z.string().optional(),
-  location: z.string().optional(),
-  headline: z.string().optional().describe('한 줄 소개 / 직무 타이틀'),
-  summary: z.string().optional().describe('자기소개 요약'),
-  desired_roles: z.array(z.string()).optional().describe('희망 직무'),
-  desired_conditions: z.string().optional().describe('희망 근무 조건 (연봉, 지역, 근무형태 등)'),
-  preferred_tone: z.string().optional().describe('자기소개서 선호 문체 (예: 담백하고 구체적)'),
-  emphasis_points: z.array(z.string()).optional().describe('강조하고 싶은 핵심 포인트'),
-  links: z.array(LinkSchema).optional().describe('포트폴리오/깃허브/링크드인 등'),
+  name: reqLine.optional(),
+  email: optLine,
+  phone: optLine,
+  location: optLine,
+  headline: z.string().max(MAX_LINE).optional().describe('한 줄 소개 / 직무 타이틀'),
+  summary: z.string().max(MAX_NOTE).optional().describe('자기소개 요약'),
+  desired_roles: strList.optional().describe('희망 직무'),
+  desired_conditions: z.string().max(MAX_NOTE).optional().describe('희망 근무 조건 (연봉, 지역, 근무형태 등)'),
+  preferred_tone: z.string().max(MAX_LINE).optional().describe('자기소개서 선호 문체 (예: 담백하고 구체적)'),
+  emphasis_points: strList.optional().describe('강조하고 싶은 핵심 포인트'),
+  links: z.array(LinkSchema).max(MAX_ITEMS).optional().describe('포트폴리오/깃허브/링크드인 등'),
 });
 export type ProfileInput = z.infer<typeof ProfileInputSchema>;
 
@@ -89,15 +123,15 @@ export type ProfileRecord = z.infer<typeof ProfileRecordSchema>;
 /* --------------------------------------------------------------- Experience */
 
 export const ExperienceInputSchema = z.object({
-  company: z.string().min(1),
-  role: z.string().optional(),
-  employment_type: z.string().optional().describe('정규직/계약직/인턴/프리랜서 등'),
-  start_date: z.string().optional().describe('YYYY-MM 또는 YYYY-MM-DD'),
-  end_date: z.string().optional().describe('재직 중이면 비워두기'),
+  company: reqLine,
+  role: optLine,
+  employment_type: z.string().max(MAX_LINE).optional().describe('정규직/계약직/인턴/프리랜서 등'),
+  start_date: z.string().max(MAX_LINE).optional().describe('YYYY-MM 또는 YYYY-MM-DD'),
+  end_date: z.string().max(MAX_LINE).optional().describe('재직 중이면 비워두기'),
   is_current: z.boolean().optional(),
-  description: z.string().optional(),
-  achievements: z.array(z.string()).optional().describe('성과/업적 (정량 지표 권장)'),
-  tech: z.array(z.string()).optional().describe('사용 기술/도구'),
+  description: optBody,
+  achievements: strList.optional().describe('성과/업적 (정량 지표 권장)'),
+  tech: strList.optional().describe('사용 기술/도구'),
   order_index: z.number().optional(),
 });
 export type ExperienceInput = z.infer<typeof ExperienceInputSchema>;
@@ -120,14 +154,14 @@ export type ExperienceRecord = z.infer<typeof ExperienceRecordSchema>;
 /* ------------------------------------------------------------------ Project */
 
 export const ProjectInputSchema = z.object({
-  name: z.string().min(1),
-  role: z.string().optional(),
-  description: z.string().optional(),
-  highlights: z.array(z.string()).optional(),
-  tech: z.array(z.string()).optional(),
+  name: reqLine,
+  role: optLine,
+  description: optBody,
+  highlights: strList.optional(),
+  tech: strList.optional(),
   url: SafeUrlOptional,
-  start_date: z.string().optional(),
-  end_date: z.string().optional(),
+  start_date: optLine,
+  end_date: optLine,
   order_index: z.number().optional(),
 });
 export type ProjectInput = z.infer<typeof ProjectInputSchema>;
@@ -149,9 +183,9 @@ export type ProjectRecord = z.infer<typeof ProjectRecordSchema>;
 /* -------------------------------------------------------------------- Skill */
 
 export const SkillInputSchema = z.object({
-  name: z.string().min(1),
-  category: z.string().optional().describe('언어/프레임워크/툴/소프트스킬 등'),
-  level: z.string().optional().describe('상/중/하 또는 자유 서술'),
+  name: reqLine,
+  category: z.string().max(MAX_LINE).optional().describe('언어/프레임워크/툴/소프트스킬 등'),
+  level: z.string().max(MAX_LINE).optional().describe('상/중/하 또는 자유 서술'),
   years: z.number().optional(),
   order_index: z.number().optional(),
 });
@@ -171,11 +205,11 @@ export type SkillRecord = z.infer<typeof SkillRecordSchema>;
 
 export const DocumentInputSchema = z.object({
   kind: z.enum(DOCUMENT_KINDS),
-  title: z.string().min(1),
-  content: z.string().describe('Markdown 또는 일반 텍스트 본문'),
+  title: reqLine,
+  content: reqBody.describe('Markdown 또는 일반 텍스트 본문'),
   source: z.enum(CONTENT_SOURCES).optional(),
   is_primary: z.boolean().optional().describe('대표 문서 여부'),
-  tags: z.array(z.string()).optional(),
+  tags: strList.optional(),
 });
 export type DocumentInput = z.infer<typeof DocumentInputSchema>;
 
@@ -193,21 +227,21 @@ export type DocumentRecord = z.infer<typeof DocumentRecordSchema>;
 /* -------------------------------------------------------------- CoverLetter */
 
 export const CoverLetterInputSchema = z.object({
-  title: z.string().min(1),
-  job_id: z.string().optional().describe('특정 공고에 연결할 경우'),
+  title: reqLine,
+  job_id: optLine.describe('특정 공고에 연결할 경우'),
   is_primary: z.boolean().optional(),
-  content: z.string().optional().describe('초기 버전 본문 (있으면 v1로 저장)'),
+  content: optBody.describe('초기 버전 본문 (있으면 v1로 저장)'),
   source: z.enum(CONTENT_SOURCES).optional(),
-  note: z.string().optional().describe('초기 버전 메모'),
+  note: optNote.describe('초기 버전 메모'),
 });
 export type CoverLetterInput = z.infer<typeof CoverLetterInputSchema>;
 
 export const CoverLetterVersionInputSchema = z.object({
-  cover_letter_id: z.string().optional().describe('기존 자기소개서에 새 버전 추가 시'),
-  title: z.string().optional().describe('새 자기소개서를 만들 때 제목'),
-  job_id: z.string().optional(),
-  content: z.string().min(1),
-  note: z.string().optional().describe('이 버전의 변경 요약 (예: 지원동기 보강)'),
+  cover_letter_id: optLine.describe('기존 자기소개서에 새 버전 추가 시'),
+  title: z.string().max(MAX_LINE).optional().describe('새 자기소개서를 만들 때 제목'),
+  job_id: optLine,
+  content: reqBody,
+  note: optNote.describe('이 버전의 변경 요약 (예: 지원동기 보강)'),
   source: z.enum(CONTENT_SOURCES).optional(),
   set_current: z.boolean().optional().describe('이 버전을 현재 버전으로 지정 (기본 true)'),
 });
@@ -239,16 +273,16 @@ export type CoverLetterRecord = z.infer<typeof CoverLetterRecordSchema>;
 /* --------------------------------------------------------------------- Job */
 
 export const JobInputSchema = z.object({
-  company: z.string().min(1),
-  position: z.string().min(1).describe('직무/포지션명'),
+  company: reqLine,
+  position: reqLine.describe('직무/포지션명'),
   url: SafeUrlOptional,
-  location: z.string().optional(),
-  employment_type: z.string().optional(),
-  description: z.string().optional().describe('공고 원문 또는 정리된 텍스트'),
-  requirements: z.array(z.string()).optional().describe('자격요건/우대사항 핵심'),
-  keywords: z.array(z.string()).optional().describe('핵심 키워드'),
-  deadline: z.string().optional().describe('마감일 YYYY-MM-DD'),
-  source: z.string().optional().describe('출처 (사람인/원티드/직접 입력 등)'),
+  location: optLine,
+  employment_type: optLine,
+  description: optBody.describe('공고 원문 또는 정리된 텍스트'),
+  requirements: strList.optional().describe('자격요건/우대사항 핵심'),
+  keywords: strList.optional().describe('핵심 키워드'),
+  deadline: z.string().max(MAX_LINE).optional().describe('마감일 YYYY-MM-DD'),
+  source: z.string().max(MAX_LINE).optional().describe('출처 (사람인/원티드/직접 입력 등)'),
 });
 export type JobInput = z.infer<typeof JobInputSchema>;
 
@@ -270,14 +304,14 @@ export type JobRecord = z.infer<typeof JobRecordSchema>;
 /* ------------------------------------------------------------- FitAnalysis */
 
 export const FitAnalysisInputSchema = z.object({
-  job_id: z.string().describe('분석 대상 공고 ID'),
+  job_id: reqLine.describe('분석 대상 공고 ID'),
   score: z.number().min(0).max(100).optional().describe('종합 적합도 0~100'),
-  summary: z.string().optional().describe('한두 문단 요약'),
-  strengths: z.array(z.string()).optional().describe('강점 / 잘 맞는 부분'),
-  gaps: z.array(z.string()).optional().describe('부족한 부분 / 보완 필요'),
-  matched_keywords: z.array(z.string()).optional(),
-  missing_keywords: z.array(z.string()).optional(),
-  recommendations: z.array(z.string()).optional().describe('자기소개서/지원 전략 제안'),
+  summary: z.string().max(MAX_NOTE).optional().describe('한두 문단 요약'),
+  strengths: strList.optional().describe('강점 / 잘 맞는 부분'),
+  gaps: strList.optional().describe('부족한 부분 / 보완 필요'),
+  matched_keywords: strList.optional(),
+  missing_keywords: strList.optional(),
+  recommendations: strList.optional().describe('자기소개서/지원 전략 제안'),
 });
 export type FitAnalysisInput = z.infer<typeof FitAnalysisInputSchema>;
 
@@ -297,20 +331,20 @@ export type FitAnalysisRecord = z.infer<typeof FitAnalysisRecordSchema>;
 /* ------------------------------------------------------------- Application */
 
 export const ApplicationInputSchema = z.object({
-  job_id: z.string(),
+  job_id: reqLine,
   status: z.enum(APPLICATION_STATUSES).optional(),
-  resume_id: z.string().optional(),
-  cover_letter_id: z.string().optional(),
-  applied_at: z.string().optional(),
-  notes: z.string().optional(),
+  resume_id: optLine,
+  cover_letter_id: optLine,
+  applied_at: optLine,
+  notes: optNote,
 });
 export type ApplicationInput = z.infer<typeof ApplicationInputSchema>;
 
 export const ApplicationStatusUpdateSchema = z.object({
-  job_id: z.string().optional(),
-  application_id: z.string().optional(),
+  job_id: optLine,
+  application_id: optLine,
   status: z.enum(APPLICATION_STATUSES),
-  note: z.string().optional().describe('상태 변경 사유/메모'),
+  note: optNote.describe('상태 변경 사유/메모'),
 });
 export type ApplicationStatusUpdate = z.infer<typeof ApplicationStatusUpdateSchema>;
 
@@ -328,28 +362,28 @@ export type ApplicationRecord = z.infer<typeof ApplicationRecordSchema>;
 /* ----------------------------------------------------------- InterviewPrep */
 
 export const StarGuideSchema = z.object({
-  question: z.string(),
-  situation: z.string().optional(),
-  task: z.string().optional(),
-  action: z.string().optional(),
-  result: z.string().optional(),
+  question: z.string().max(MAX_NOTE),
+  situation: optNote,
+  task: optNote,
+  action: optNote,
+  result: optNote,
 });
 export type StarGuide = z.infer<typeof StarGuideSchema>;
 
 export const InterviewQuestionSchema = z.object({
-  question: z.string(),
-  intent: z.string().optional().describe('질문 의도'),
-  followups: z.array(z.string()).optional().describe('예상 꼬리 질문'),
-  answer_outline: z.string().optional().describe('답변 가이드/핵심 포인트'),
+  question: z.string().max(MAX_NOTE),
+  intent: z.string().max(MAX_NOTE).optional().describe('질문 의도'),
+  followups: strList.optional().describe('예상 꼬리 질문'),
+  answer_outline: optBody.describe('답변 가이드/핵심 포인트'),
 });
 export type InterviewQuestion = z.infer<typeof InterviewQuestionSchema>;
 
 export const InterviewPrepInputSchema = z.object({
-  job_id: z.string(),
-  questions: z.array(InterviewQuestionSchema).optional(),
-  star_guides: z.array(StarGuideSchema).optional(),
-  self_introduction: z.string().optional().describe('1분 자기소개 초안'),
-  notes: z.string().optional().describe('면접 후기/메모'),
+  job_id: reqLine,
+  questions: z.array(InterviewQuestionSchema).max(MAX_ITEMS).optional(),
+  star_guides: z.array(StarGuideSchema).max(MAX_ITEMS).optional(),
+  self_introduction: optBody.describe('1분 자기소개 초안'),
+  notes: optNote.describe('면접 후기/메모'),
 });
 export type InterviewPrepInput = z.infer<typeof InterviewPrepInputSchema>;
 

package/scripts/build-dist.mjs

@@ -73,7 +73,13 @@ async function main() {
   const demoDir = path.join(ROOT, 'install-page', 'demo');
   fs.cpSync(path.join(ROOT, 'install-page'), path.join(DIST, 'install-page'), {
     recursive: true,
-    filter: (src) => path.basename(src) !== 'careermate.mcpb' && src !== demoDir,
+    filter: (src) => {
+      const base = path.basename(src);
+      // OMC/OMX 오케스트레이션 상태(세션ID·리플레이 로그)는 사용자에게 불필요하고
+      // 게시 tarball로 새면 안 된다. install-page에 남아 있어도 dist→npm에는 제외한다.
+      if (base === '.omc' || base === '.omx') return false;
+      return base !== 'careermate.mcpb' && src !== demoDir;
+    },
   });
 
   // pdfjs 워커 사이드카: pdf.mjs는 번들에 인라인되지만, 워커는 런타임에 별도 파일로

package/scripts/gen-og.mjs

@@ -46,7 +46,7 @@ const ogHtml = `<!doctype html><meta charset="utf-8"><style>
     <div class="h">내 <span class="accent">AI</span>를<br>나만의 <span class="accent">커리어 비서</span>로</div>
     <div class="sub">이력서·자기소개서·지원 현황을 이 컴퓨터 안에서 관리하세요.<br>분석·글쓰기는 평소 쓰던 AI가, 데이터 보관은 CareerMate가.</div>
   </div>
-  <div class="pill"><span class="dot"></span>로컬 전용 · MCP · 오픈소스</div>
+  <div class="pill"><span class="dot"></span>로컬 전용 · MCP · 무료</div>
 </div>`;
 
 const iconHtml = (size) => `<!doctype html><meta charset="utf-8"><style>

package/scripts/test.ts

@@ -107,6 +107,31 @@ ok('MCP가 API의 수정(한 줄 소개)을 즉시 봄 (←)', pr.profileHeadlin
 ok('MCP save_job_posting', !!pr.jobId);
 ok('대시보드(API)가 MCP가 저장한 공고를 봄 (→)', (await json('GET', '/api/jobs')).jobs.some((j: any) => j.id === pr.jobId));
 
+/* --------------------------------------------- 5. 내보내기 HTML 인젝션 차단 (회귀) */
+// Cover-letter/resume bodies are user/agent text rendered into exported .html
+// (opened in a browser → live XSS surface). markdownToHtml MUST neutralize raw
+// HTML and dangerous link schemes. These assertions lock that property so a
+// future refactor of the markdown renderer can't silently reintroduce XSS.
+section('5) 내보내기 HTML 인젝션 차단 (회귀)');
+const { markdownToHtml } = await import('../packages/exporters/src/markdown.ts');
+const { toPrintableHtml } = await import('../packages/exporters/src/html.ts');
+
+const imgPayload = markdownToHtml('<img src=x onerror="alert(1)">');
+ok('raw <img onerror> 무력화', !imgPayload.includes('<img') && imgPayload.includes('&lt;img') && !imgPayload.includes('onerror="alert'));
+
+const scriptPayload = markdownToHtml('<script>alert(1)</script>');
+ok('raw <script> 무력화', !scriptPayload.includes('<script>') && scriptPayload.includes('&lt;script&gt;'));
+
+const jsLink = markdownToHtml('[클릭](javascript:alert(1))');
+ok('javascript: 링크 차단(→ #)', jsLink.includes('href="#"') && !jsLink.toLowerCase().includes('javascript:'));
+
+// Attribute-breakout attempt: a quote inside an otherwise-valid https URL.
+const breakout = markdownToHtml('[x](https://a.com" onmouseover="alert(1))');
+ok('링크 속성 탈출 차단', !breakout.includes('onmouseover="alert') && breakout.includes('&quot;'));
+
+const titleInj = toPrintableHtml('</title><script>alert(1)</script>', '본문');
+ok('내보내기 제목 인젝션 차단', !titleInj.includes('<script>') && !titleInj.includes('</title><script>'));
+
 console.log(`\n${'='.repeat(40)}`);
 console.log(`결과: ${pass} 통과 · ${fail} 실패`);
 console.log(fail === 0 ? '✅ 전체 통과' : '❌ 실패 있음');

package/scripts/ui-smoke.ts

@@ -25,18 +25,20 @@ saveCoverLetterVersion({ job_id: job.id, title: '자소서', content: '내용 v1
 updateApplicationStatus(job.id, 'document_passed');
 saveInterviewPrep({ job_id: job.id, questions: [{ question: '질문?' }], self_introduction: '소개' });
 
-let chromium: any;
+// Skip gracefully if either the package OR the browser binary is missing — both
+// are optional dev deps, and a confusing uncaught launch error helps no one.
+let browser: any;
 try {
-  ({ chromium } = await import('playwright'));
+  const { chromium } = await import('playwright');
+  browser = await chromium.launch();
 } catch {
-  console.log('⚠️  Playwright가 설치되어 있지 않습니다. 건너뜁니다.');
+  console.log('⚠️  Playwright(또는 Chromium 브라우저)가 없어 UI 스모크를 건너뜁니다.');
   console.log('    설치: npm i -D playwright && npx playwright install chromium');
   process.exit(0);
 }
 
 const { port, server } = await startServer(46050);
 const base = `http://127.0.0.1:${port}`;
-const browser = await chromium.launch();
 const page = await browser.newPage({ viewport: { width: 1440, height: 900 } });
 
 const errors: string[] = [];
@@ -62,6 +64,32 @@ for (const [name, hash] of routes) {
 
 if (errors.length) { console.log('\n콘솔/페이지 오류:'); errors.forEach((e) => console.log('  ' + e)); }
 failures += errors.length;
+
+// Responsive: every page must fit its viewport with no horizontal overflow at
+// a laptop (1366×768) and a small phone (390×844). A page wider than the
+// viewport means a broken layout (off-screen content, horizontal scrollbar).
+// 1px tolerance for sub-pixel rounding.
+const viewports: [string, number, number][] = [
+  ['laptop-1366', 1366, 768],
+  ['phone-390', 390, 844],
+];
+for (const [vpName, width, height] of viewports) {
+  await page.setViewportSize({ width, height });
+  for (const [name, hash] of routes) {
+    route = `${vpName}/${name}`;
+    await page.goto(base + '/' + hash, { waitUntil: 'networkidle' });
+    await page.waitForTimeout(250);
+    // Runs in the browser; reach DOM globals via globalThis so this node-libbed
+    // file still typechecks (tsc has no 'dom' lib here).
+    const overflow: number = await page.evaluate(() => {
+      const w = globalThis as any;
+      return Math.max(w.document.documentElement.scrollWidth, w.document.body.scrollWidth) - w.innerWidth;
+    });
+    const ok = overflow <= 1;
+    if (!ok) failures++;
+    console.log(`  ${ok ? '✅' : '❌'} ${vpName}/${name.padEnd(11)} overflow=${overflow}px`);
+  }
+}
 console.log(`\n${failures === 0 ? '✅ UI 스모크 테스트 통과' : `❌ 실패 ${failures}건`}`);
 console.log(failures === 0 ? 'UI_VERDICT PASS' : `UI_VERDICT FAIL ${failures}`);
 

package/dist/install-page/.omc/state/agent-replay-55a58c0d-bb6e-43ea-8a05-4b6c93b80b34.jsonl

@@ -1,12 +0,0 @@
-{"t":0,"agent":"a10f819","agent_type":"workflow-subagent","event":"agent_start","parent_mode":"none"}
-{"t":0,"agent":"a10f819","agent_type":"workflow-subagent","event":"agent_stop","success":true,"duration_ms":143102}
-{"t":0,"agent":"aca9cea","agent_type":"workflow-subagent","event":"agent_start","parent_mode":"none"}
-{"t":0,"agent":"a4768e2","agent_type":"workflow-subagent","event":"agent_start","parent_mode":"none"}
-{"t":0,"agent":"a349ced","agent_type":"workflow-subagent","event":"agent_start","parent_mode":"none"}
-{"t":0,"agent":"a349ced","agent_type":"workflow-subagent","event":"agent_stop","success":true,"duration_ms":60038}
-{"t":0,"agent":"a4768e2","agent_type":"workflow-subagent","event":"agent_stop","success":true,"duration_ms":114215}
-{"t":0,"agent":"aca9cea","agent_type":"workflow-subagent","event":"agent_stop","success":true,"duration_ms":121159}
-{"t":0,"agent":"acc5653","agent_type":"unknown","event":"agent_stop","success":true}
-{"t":0,"agent":"a0edd5d","agent_type":"unknown","event":"agent_stop","success":true}
-{"t":0,"agent":"a245f43","agent_type":"unknown","event":"agent_stop","success":true}
-{"t":0,"agent":"aefa1c0","agent_type":"unknown","event":"agent_stop","success":true}

package/dist/install-page/.omc/state/idle-notif-cooldown.json

@@ -1,3 +0,0 @@
-{
-  "lastSentAt": "2026-06-16T12:35:20.708Z"
-}