connectbase-client 5.10.0 → 5.12.0

package/dist/index.d.mts

@@ -264,6 +264,18 @@ declare class HttpClient {
      */
     private bootRestorePromise;
     private bootRestoreAlwaysAwait;
+    /**
+     * 서버가 `X-CB-Direct-Base` 로 알려준 저지연 원본. 학습 전에는 null 이라 항상 `baseUrl`
+     * 을 쓴다. {@link resolveOrigin} 참고.
+     */
+    private directBaseUrl;
+    /**
+     * direct 원본을 이 세션에서 더는 쓰지 않는다는 표시. 한 번이라도 네트워크 레벨에서
+     * 실패하면(CSP `connect-src` 차단, 사내 프록시, DNS 미전파, 호스트 회수 등) 즉시 세워
+     * 이후 요청은 전부 `baseUrl` 로 간다. direct 는 최적화일 뿐 필수가 아니므로 재시도를
+     * 반복하지 않고 한 번에 포기하는 쪽이 안전하다.
+     */
+    private directDisabled;
     /**
      * 클라이언트 생성 시 명시된 요청 타임아웃(ms). 미지정이면 `undefined`.
      *
@@ -406,6 +418,41 @@ declare class HttpClient {
      * (platform-issue 019e638d, 2026-05-26). retry 는 1회 한정 — 무한 루프 차단.
      */
     private doFetch;
+    /**
+     * 이 요청을 보낼 원본을 고른다.
+     *
+     * `credentials:'omit'` 인 요청 — 즉 `X-Public-Key` 로만 인증하고 쿠키를 주고받지 않는
+     * `/v1/public/*` 데이터 평면 — 만 direct 원본으로 보낸다. 이 조건이 곧 안전 조건이다:
+     * 멤버 refresh 쿠키는 **host-only** 로 발급되므로(백엔드 auth_cookie.SetMemberRefreshCookie)
+     * 로그인·가입·로그아웃·OAuth·탈퇴를 다른 호스트로 보내면 세션이 조용히 끊긴다.
+     * `fetchCredentialsForPath` 가 이미 그 경계를 계산하고 있어, 나중에 쿠키 엔드포인트가
+     * 추가돼도 자동으로 제외된다(서버도 같은 경로를 421 로 되돌려보낸다).
+     */
+    private resolveOrigin;
+    /**
+     * 응답에서 저지연 원본 광고를 학습한다.
+     *
+     * 왜 서버가 정하나: 클라이언트는 자기가 어느 나라에서 접속했는지 신뢰성 있게 모르고,
+     * 두 호스트를 재보는 프로브는 요청을 한 번 더 쓴다. Cloudflare 엣지는 `CF-IPCountry` 로
+     * 이미 알고 있으므로 서버가 판단해 알려주는 쪽이 정확하고 공짜다. 서버 env 하나로
+     * 즉시 회수할 수도 있다.
+     *
+     * 값은 검증한다 — https 이고 `baseUrl` 과 같은 등록 도메인이어야 한다. 응답은 우리
+     * 서버에서 TLS 로 오지만, 설정 실수 하나로 SDK 트래픽 전체가 엉뚱한 호스트로 향하는
+     * 일은 없어야 한다.
+     */
+    private learnDirectOrigin;
+    /**
+     * SDK 인증 헤더를 **주입하지 않는** raw fetch. 저지연 원본 선택과 폴백만 얹는다.
+     *
+     * `cb.endpoint.call()`(`/v1/proxy/*`) 전용이다. 그 경로는 dumb pipe 라 요청 헤더가
+     * 사용자 PC 의 모델 서버로 그대로 전달된다 — `prepareHeaders()` 를 태우면 SDK 의
+     * `Authorization` 이 남의 서버로 나가고, 호출자가 자기 모델 서버용으로 설정한
+     * `Authorization` 을 덮어쓴다. 그래서 fetchRaw 를 재사용하지 않는다.
+     *
+     * @param path `/v1/proxy/...` 형태의 절대 경로 (origin 없이)
+     */
+    fetchPassthrough(path: string, init: RequestInit): Promise<Response>;
     private tryFetchOnce;
     get<T>(url: string, config?: RequestConfig): Promise<T>;
     post<T>(url: string, data?: unknown, config?: RequestConfig): Promise<T>;
@@ -3110,6 +3157,8 @@ declare class EndpointAPI {
      * @param init - fetch() 의 RequestInit + path. path 는 사용자 모델 서버의 엔드포인트 경로 (예: "/prompt", "/v1/chat/completions").
      */
     call(label: string, init: EndpointCallInit): Promise<Response>;
+    /** `/v1/proxy/<label><path>` 절대 경로(origin 없이). URL 조립 규칙의 단일 출처. */
+    private proxyPath;
     /**
      * 라벨 + path 의 최종 호출 URL `${baseUrl}/v1/proxy/${label}${path}` 을 조립해서
      * 반환. URL 을 다른 시스템 (Service Worker, 백엔드 워커, 로깅) 에 넘기거나

package/dist/index.d.ts

@@ -264,6 +264,18 @@ declare class HttpClient {
      */
     private bootRestorePromise;
     private bootRestoreAlwaysAwait;
+    /**
+     * 서버가 `X-CB-Direct-Base` 로 알려준 저지연 원본. 학습 전에는 null 이라 항상 `baseUrl`
+     * 을 쓴다. {@link resolveOrigin} 참고.
+     */
+    private directBaseUrl;
+    /**
+     * direct 원본을 이 세션에서 더는 쓰지 않는다는 표시. 한 번이라도 네트워크 레벨에서
+     * 실패하면(CSP `connect-src` 차단, 사내 프록시, DNS 미전파, 호스트 회수 등) 즉시 세워
+     * 이후 요청은 전부 `baseUrl` 로 간다. direct 는 최적화일 뿐 필수가 아니므로 재시도를
+     * 반복하지 않고 한 번에 포기하는 쪽이 안전하다.
+     */
+    private directDisabled;
     /**
      * 클라이언트 생성 시 명시된 요청 타임아웃(ms). 미지정이면 `undefined`.
      *
@@ -406,6 +418,41 @@ declare class HttpClient {
      * (platform-issue 019e638d, 2026-05-26). retry 는 1회 한정 — 무한 루프 차단.
      */
     private doFetch;
+    /**
+     * 이 요청을 보낼 원본을 고른다.
+     *
+     * `credentials:'omit'` 인 요청 — 즉 `X-Public-Key` 로만 인증하고 쿠키를 주고받지 않는
+     * `/v1/public/*` 데이터 평면 — 만 direct 원본으로 보낸다. 이 조건이 곧 안전 조건이다:
+     * 멤버 refresh 쿠키는 **host-only** 로 발급되므로(백엔드 auth_cookie.SetMemberRefreshCookie)
+     * 로그인·가입·로그아웃·OAuth·탈퇴를 다른 호스트로 보내면 세션이 조용히 끊긴다.
+     * `fetchCredentialsForPath` 가 이미 그 경계를 계산하고 있어, 나중에 쿠키 엔드포인트가
+     * 추가돼도 자동으로 제외된다(서버도 같은 경로를 421 로 되돌려보낸다).
+     */
+    private resolveOrigin;
+    /**
+     * 응답에서 저지연 원본 광고를 학습한다.
+     *
+     * 왜 서버가 정하나: 클라이언트는 자기가 어느 나라에서 접속했는지 신뢰성 있게 모르고,
+     * 두 호스트를 재보는 프로브는 요청을 한 번 더 쓴다. Cloudflare 엣지는 `CF-IPCountry` 로
+     * 이미 알고 있으므로 서버가 판단해 알려주는 쪽이 정확하고 공짜다. 서버 env 하나로
+     * 즉시 회수할 수도 있다.
+     *
+     * 값은 검증한다 — https 이고 `baseUrl` 과 같은 등록 도메인이어야 한다. 응답은 우리
+     * 서버에서 TLS 로 오지만, 설정 실수 하나로 SDK 트래픽 전체가 엉뚱한 호스트로 향하는
+     * 일은 없어야 한다.
+     */
+    private learnDirectOrigin;
+    /**
+     * SDK 인증 헤더를 **주입하지 않는** raw fetch. 저지연 원본 선택과 폴백만 얹는다.
+     *
+     * `cb.endpoint.call()`(`/v1/proxy/*`) 전용이다. 그 경로는 dumb pipe 라 요청 헤더가
+     * 사용자 PC 의 모델 서버로 그대로 전달된다 — `prepareHeaders()` 를 태우면 SDK 의
+     * `Authorization` 이 남의 서버로 나가고, 호출자가 자기 모델 서버용으로 설정한
+     * `Authorization` 을 덮어쓴다. 그래서 fetchRaw 를 재사용하지 않는다.
+     *
+     * @param path `/v1/proxy/...` 형태의 절대 경로 (origin 없이)
+     */
+    fetchPassthrough(path: string, init: RequestInit): Promise<Response>;
     private tryFetchOnce;
     get<T>(url: string, config?: RequestConfig): Promise<T>;
     post<T>(url: string, data?: unknown, config?: RequestConfig): Promise<T>;
@@ -3110,6 +3157,8 @@ declare class EndpointAPI {
      * @param init - fetch() 의 RequestInit + path. path 는 사용자 모델 서버의 엔드포인트 경로 (예: "/prompt", "/v1/chat/completions").
      */
     call(label: string, init: EndpointCallInit): Promise<Response>;
+    /** `/v1/proxy/<label><path>` 절대 경로(origin 없이). URL 조립 규칙의 단일 출처. */
+    private proxyPath;
     /**
      * 라벨 + path 의 최종 호출 URL `${baseUrl}/v1/proxy/${label}${path}` 을 조립해서
      * 반환. URL 을 다른 시스템 (Service Worker, 백엔드 워커, 로깅) 에 넘기거나

package/dist/index.js

@@ -3121,7 +3121,7 @@ var EndpointAPI = class {
         `EndpointAPI.call: path must start with '/', got ${JSON.stringify(init.path)}`
       );
     }
-    const url = this.url(label, init.path);
+    const path = this.proxyPath(label, init.path);
     const headers = new Headers(init.headers ?? {});
     if (!headers.has("X-Public-Key")) {
       const pk = this.http.getPublicKey();
@@ -3132,7 +3132,7 @@ var EndpointAPI = class {
       }
       headers.set("X-Public-Key", pk);
     }
-    return fetch(url, {
+    return this.http.fetchPassthrough(path, {
       method: init.method ?? "GET",
       headers,
       body: init.body,
@@ -3141,6 +3141,16 @@ var EndpointAPI = class {
       redirect: "follow"
     });
   }
+  /** `/v1/proxy/<label><path>` 절대 경로(origin 없이). URL 조립 규칙의 단일 출처. */
+  proxyPath(label, path) {
+    if (!label) throw new Error("EndpointAPI.call: label required");
+    if (!path || !path.startsWith("/")) {
+      throw new Error(
+        `EndpointAPI.call: path must start with '/', got ${JSON.stringify(path)}`
+      );
+    }
+    return `/v1/proxy/${encodeURIComponent(label)}${path}`;
+  }
   /**
    * 라벨 + path 의 최종 호출 URL `${baseUrl}/v1/proxy/${label}${path}` 을 조립해서
    * 반환. URL 을 다른 시스템 (Service Worker, 백엔드 워커, 로깅) 에 넘기거나
@@ -11441,12 +11451,15 @@ var COOKIE_BEARING_PUBLIC_PATHS = /* @__PURE__ */ new Set([
   "/v1/public/app-members/signin",
   "/v1/public/app-members/signout"
 ]);
+function isAbortError(err) {
+  return typeof err === "object" && err !== null && "name" in err && err.name === "AbortError";
+}
 function fetchCredentialsForPath(url) {
   const path = url.split("?")[0];
   if (COOKIE_BEARING_PUBLIC_PATHS.has(path)) {
     return "include";
   }
-  return path.startsWith("/v1/public/") ? "omit" : "include";
+  return path.startsWith("/v1/public/") || path.startsWith("/v1/proxy/") ? "omit" : "include";
 }
 var TOKEN_STORAGE_KEY = "cb_auth_tokens";
 function gatewayCodeFromStatus(status) {
@@ -11512,6 +11525,18 @@ var HttpClient = class {
     // OAuth 콜백 부트스트랩처럼 세션 힌트 유무와 무관하게 첫 인증 호출이 반드시 기다려야
     // 하는 boot promise 인지 여부 (setBootRestorePromise 의 alwaysAwait 옵션).
     this.bootRestoreAlwaysAwait = false;
+    /**
+     * 서버가 `X-CB-Direct-Base` 로 알려준 저지연 원본. 학습 전에는 null 이라 항상 `baseUrl`
+     * 을 쓴다. {@link resolveOrigin} 참고.
+     */
+    this.directBaseUrl = null;
+    /**
+     * direct 원본을 이 세션에서 더는 쓰지 않는다는 표시. 한 번이라도 네트워크 레벨에서
+     * 실패하면(CSP `connect-src` 차단, 사내 프록시, DNS 미전파, 호스트 회수 등) 즉시 세워
+     * 이후 요청은 전부 `baseUrl` 로 간다. direct 는 최적화일 뿐 필수가 아니므로 재시도를
+     * 반복하지 않고 한 번에 포기하는 쪽이 안전하다.
+     */
+    this.directDisabled = false;
     this.config = { ...config };
     this.storageKey = this.buildStorageKey();
     this.warnIfUnsafePersistence();
@@ -12102,18 +12127,97 @@ var HttpClient = class {
       });
     }
   }
+  /**
+   * 이 요청을 보낼 원본을 고른다.
+   *
+   * `credentials:'omit'` 인 요청 — 즉 `X-Public-Key` 로만 인증하고 쿠키를 주고받지 않는
+   * `/v1/public/*` 데이터 평면 — 만 direct 원본으로 보낸다. 이 조건이 곧 안전 조건이다:
+   * 멤버 refresh 쿠키는 **host-only** 로 발급되므로(백엔드 auth_cookie.SetMemberRefreshCookie)
+   * 로그인·가입·로그아웃·OAuth·탈퇴를 다른 호스트로 보내면 세션이 조용히 끊긴다.
+   * `fetchCredentialsForPath` 가 이미 그 경계를 계산하고 있어, 나중에 쿠키 엔드포인트가
+   * 추가돼도 자동으로 제외된다(서버도 같은 경로를 421 로 되돌려보낸다).
+   */
+  resolveOrigin(url) {
+    if (this.directBaseUrl && !this.directDisabled && fetchCredentialsForPath(url) === "omit") {
+      return this.directBaseUrl;
+    }
+    return this.config.baseUrl;
+  }
+  /**
+   * 응답에서 저지연 원본 광고를 학습한다.
+   *
+   * 왜 서버가 정하나: 클라이언트는 자기가 어느 나라에서 접속했는지 신뢰성 있게 모르고,
+   * 두 호스트를 재보는 프로브는 요청을 한 번 더 쓴다. Cloudflare 엣지는 `CF-IPCountry` 로
+   * 이미 알고 있으므로 서버가 판단해 알려주는 쪽이 정확하고 공짜다. 서버 env 하나로
+   * 즉시 회수할 수도 있다.
+   *
+   * 값은 검증한다 — https 이고 `baseUrl` 과 같은 등록 도메인이어야 한다. 응답은 우리
+   * 서버에서 TLS 로 오지만, 설정 실수 하나로 SDK 트래픽 전체가 엉뚱한 호스트로 향하는
+   * 일은 없어야 한다.
+   */
+  learnDirectOrigin(response) {
+    if (this.directDisabled || this.directBaseUrl) return;
+    const advertised = response.headers?.get("X-CB-Direct-Base");
+    if (!advertised) return;
+    try {
+      const next = new URL(advertised);
+      const base = new URL(this.config.baseUrl);
+      if (next.protocol !== "https:") return;
+      const tail = (h) => h.split(".").slice(-2).join(".");
+      if (tail(next.hostname) !== tail(base.hostname)) return;
+      this.directBaseUrl = next.origin;
+    } catch {
+    }
+  }
+  /**
+   * SDK 인증 헤더를 **주입하지 않는** raw fetch. 저지연 원본 선택과 폴백만 얹는다.
+   *
+   * `cb.endpoint.call()`(`/v1/proxy/*`) 전용이다. 그 경로는 dumb pipe 라 요청 헤더가
+   * 사용자 PC 의 모델 서버로 그대로 전달된다 — `prepareHeaders()` 를 태우면 SDK 의
+   * `Authorization` 이 남의 서버로 나가고, 호출자가 자기 모델 서버용으로 설정한
+   * `Authorization` 을 덮어쓴다. 그래서 fetchRaw 를 재사용하지 않는다.
+   *
+   * @param path `/v1/proxy/...` 형태의 절대 경로 (origin 없이)
+   */
+  async fetchPassthrough(path, init) {
+    const origin = this.resolveOrigin(path);
+    try {
+      const response = await fetch(`${origin}${path}`, init);
+      this.learnDirectOrigin(response);
+      return response;
+    } catch (err) {
+      if (origin !== this.config.baseUrl && !isAbortError(err)) {
+        this.directDisabled = true;
+        return fetch(`${this.config.baseUrl}${path}`, init);
+      }
+      throw err;
+    }
+  }
   async tryFetchOnce(url, init, config) {
     const { signal, cleanup } = createTimeoutController({
       timeout: config?.timeout ?? this.config.requestTimeoutMs ?? DEFAULT_REQUEST_TIMEOUT_MS,
       signal: config?.signal
     });
+    const origin = this.resolveOrigin(url);
     try {
-      const response = await fetch(`${this.config.baseUrl}${url}`, {
+      const response = await fetch(`${origin}${url}`, {
         ...init,
         credentials: fetchCredentialsForPath(url),
         signal
       });
+      this.learnDirectOrigin(response);
       return { response, ok: response.ok, status: response.status };
+    } catch (err) {
+      if (origin !== this.config.baseUrl && !isAbortError(err)) {
+        this.directDisabled = true;
+        const response = await fetch(`${this.config.baseUrl}${url}`, {
+          ...init,
+          credentials: fetchCredentialsForPath(url),
+          signal
+        });
+        return { response, ok: response.ok, status: response.status };
+      }
+      throw err;
     } finally {
       cleanup();
     }
@@ -12180,11 +12284,21 @@ var HttpClient = class {
       const extra = new Headers(init.headers);
       extra.forEach((value, key) => mergedHeaders.set(key, value));
     }
-    return fetch(`${this.config.baseUrl}${url}`, {
-      ...init,
-      credentials: fetchCredentialsForPath(url),
-      headers: mergedHeaders
-    });
+    const origin = this.resolveOrigin(url);
+    try {
+      const response = await fetch(`${origin}${url}`, {
+        ...init,
+        credentials: fetchCredentialsForPath(url),
+        headers: mergedHeaders
+      });
+      this.learnDirectOrigin(response);
+      return response;
+    } catch (err) {
+      if (origin !== this.config.baseUrl && !isAbortError(err)) {
+        this.directDisabled = true;
+      }
+      throw err;
+    }
   }
 };
 

package/dist/index.mjs

@@ -3072,7 +3072,7 @@ var EndpointAPI = class {
         `EndpointAPI.call: path must start with '/', got ${JSON.stringify(init.path)}`
       );
     }
-    const url = this.url(label, init.path);
+    const path = this.proxyPath(label, init.path);
     const headers = new Headers(init.headers ?? {});
     if (!headers.has("X-Public-Key")) {
       const pk = this.http.getPublicKey();
@@ -3083,7 +3083,7 @@ var EndpointAPI = class {
       }
       headers.set("X-Public-Key", pk);
     }
-    return fetch(url, {
+    return this.http.fetchPassthrough(path, {
       method: init.method ?? "GET",
       headers,
       body: init.body,
@@ -3092,6 +3092,16 @@ var EndpointAPI = class {
       redirect: "follow"
     });
   }
+  /** `/v1/proxy/<label><path>` 절대 경로(origin 없이). URL 조립 규칙의 단일 출처. */
+  proxyPath(label, path) {
+    if (!label) throw new Error("EndpointAPI.call: label required");
+    if (!path || !path.startsWith("/")) {
+      throw new Error(
+        `EndpointAPI.call: path must start with '/', got ${JSON.stringify(path)}`
+      );
+    }
+    return `/v1/proxy/${encodeURIComponent(label)}${path}`;
+  }
   /**
    * 라벨 + path 의 최종 호출 URL `${baseUrl}/v1/proxy/${label}${path}` 을 조립해서
    * 반환. URL 을 다른 시스템 (Service Worker, 백엔드 워커, 로깅) 에 넘기거나
@@ -11392,12 +11402,15 @@ var COOKIE_BEARING_PUBLIC_PATHS = /* @__PURE__ */ new Set([
   "/v1/public/app-members/signin",
   "/v1/public/app-members/signout"
 ]);
+function isAbortError(err) {
+  return typeof err === "object" && err !== null && "name" in err && err.name === "AbortError";
+}
 function fetchCredentialsForPath(url) {
   const path = url.split("?")[0];
   if (COOKIE_BEARING_PUBLIC_PATHS.has(path)) {
     return "include";
   }
-  return path.startsWith("/v1/public/") ? "omit" : "include";
+  return path.startsWith("/v1/public/") || path.startsWith("/v1/proxy/") ? "omit" : "include";
 }
 var TOKEN_STORAGE_KEY = "cb_auth_tokens";
 function gatewayCodeFromStatus(status) {
@@ -11463,6 +11476,18 @@ var HttpClient = class {
     // OAuth 콜백 부트스트랩처럼 세션 힌트 유무와 무관하게 첫 인증 호출이 반드시 기다려야
     // 하는 boot promise 인지 여부 (setBootRestorePromise 의 alwaysAwait 옵션).
     this.bootRestoreAlwaysAwait = false;
+    /**
+     * 서버가 `X-CB-Direct-Base` 로 알려준 저지연 원본. 학습 전에는 null 이라 항상 `baseUrl`
+     * 을 쓴다. {@link resolveOrigin} 참고.
+     */
+    this.directBaseUrl = null;
+    /**
+     * direct 원본을 이 세션에서 더는 쓰지 않는다는 표시. 한 번이라도 네트워크 레벨에서
+     * 실패하면(CSP `connect-src` 차단, 사내 프록시, DNS 미전파, 호스트 회수 등) 즉시 세워
+     * 이후 요청은 전부 `baseUrl` 로 간다. direct 는 최적화일 뿐 필수가 아니므로 재시도를
+     * 반복하지 않고 한 번에 포기하는 쪽이 안전하다.
+     */
+    this.directDisabled = false;
     this.config = { ...config };
     this.storageKey = this.buildStorageKey();
     this.warnIfUnsafePersistence();
@@ -12053,18 +12078,97 @@ var HttpClient = class {
       });
     }
   }
+  /**
+   * 이 요청을 보낼 원본을 고른다.
+   *
+   * `credentials:'omit'` 인 요청 — 즉 `X-Public-Key` 로만 인증하고 쿠키를 주고받지 않는
+   * `/v1/public/*` 데이터 평면 — 만 direct 원본으로 보낸다. 이 조건이 곧 안전 조건이다:
+   * 멤버 refresh 쿠키는 **host-only** 로 발급되므로(백엔드 auth_cookie.SetMemberRefreshCookie)
+   * 로그인·가입·로그아웃·OAuth·탈퇴를 다른 호스트로 보내면 세션이 조용히 끊긴다.
+   * `fetchCredentialsForPath` 가 이미 그 경계를 계산하고 있어, 나중에 쿠키 엔드포인트가
+   * 추가돼도 자동으로 제외된다(서버도 같은 경로를 421 로 되돌려보낸다).
+   */
+  resolveOrigin(url) {
+    if (this.directBaseUrl && !this.directDisabled && fetchCredentialsForPath(url) === "omit") {
+      return this.directBaseUrl;
+    }
+    return this.config.baseUrl;
+  }
+  /**
+   * 응답에서 저지연 원본 광고를 학습한다.
+   *
+   * 왜 서버가 정하나: 클라이언트는 자기가 어느 나라에서 접속했는지 신뢰성 있게 모르고,
+   * 두 호스트를 재보는 프로브는 요청을 한 번 더 쓴다. Cloudflare 엣지는 `CF-IPCountry` 로
+   * 이미 알고 있으므로 서버가 판단해 알려주는 쪽이 정확하고 공짜다. 서버 env 하나로
+   * 즉시 회수할 수도 있다.
+   *
+   * 값은 검증한다 — https 이고 `baseUrl` 과 같은 등록 도메인이어야 한다. 응답은 우리
+   * 서버에서 TLS 로 오지만, 설정 실수 하나로 SDK 트래픽 전체가 엉뚱한 호스트로 향하는
+   * 일은 없어야 한다.
+   */
+  learnDirectOrigin(response) {
+    if (this.directDisabled || this.directBaseUrl) return;
+    const advertised = response.headers?.get("X-CB-Direct-Base");
+    if (!advertised) return;
+    try {
+      const next = new URL(advertised);
+      const base = new URL(this.config.baseUrl);
+      if (next.protocol !== "https:") return;
+      const tail = (h) => h.split(".").slice(-2).join(".");
+      if (tail(next.hostname) !== tail(base.hostname)) return;
+      this.directBaseUrl = next.origin;
+    } catch {
+    }
+  }
+  /**
+   * SDK 인증 헤더를 **주입하지 않는** raw fetch. 저지연 원본 선택과 폴백만 얹는다.
+   *
+   * `cb.endpoint.call()`(`/v1/proxy/*`) 전용이다. 그 경로는 dumb pipe 라 요청 헤더가
+   * 사용자 PC 의 모델 서버로 그대로 전달된다 — `prepareHeaders()` 를 태우면 SDK 의
+   * `Authorization` 이 남의 서버로 나가고, 호출자가 자기 모델 서버용으로 설정한
+   * `Authorization` 을 덮어쓴다. 그래서 fetchRaw 를 재사용하지 않는다.
+   *
+   * @param path `/v1/proxy/...` 형태의 절대 경로 (origin 없이)
+   */
+  async fetchPassthrough(path, init) {
+    const origin = this.resolveOrigin(path);
+    try {
+      const response = await fetch(`${origin}${path}`, init);
+      this.learnDirectOrigin(response);
+      return response;
+    } catch (err) {
+      if (origin !== this.config.baseUrl && !isAbortError(err)) {
+        this.directDisabled = true;
+        return fetch(`${this.config.baseUrl}${path}`, init);
+      }
+      throw err;
+    }
+  }
   async tryFetchOnce(url, init, config) {
     const { signal, cleanup } = createTimeoutController({
       timeout: config?.timeout ?? this.config.requestTimeoutMs ?? DEFAULT_REQUEST_TIMEOUT_MS,
       signal: config?.signal
     });
+    const origin = this.resolveOrigin(url);
     try {
-      const response = await fetch(`${this.config.baseUrl}${url}`, {
+      const response = await fetch(`${origin}${url}`, {
         ...init,
         credentials: fetchCredentialsForPath(url),
         signal
       });
+      this.learnDirectOrigin(response);
       return { response, ok: response.ok, status: response.status };
+    } catch (err) {
+      if (origin !== this.config.baseUrl && !isAbortError(err)) {
+        this.directDisabled = true;
+        const response = await fetch(`${this.config.baseUrl}${url}`, {
+          ...init,
+          credentials: fetchCredentialsForPath(url),
+          signal
+        });
+        return { response, ok: response.ok, status: response.status };
+      }
+      throw err;
     } finally {
       cleanup();
     }
@@ -12131,11 +12235,21 @@ var HttpClient = class {
       const extra = new Headers(init.headers);
       extra.forEach((value, key) => mergedHeaders.set(key, value));
     }
-    return fetch(`${this.config.baseUrl}${url}`, {
-      ...init,
-      credentials: fetchCredentialsForPath(url),
-      headers: mergedHeaders
-    });
+    const origin = this.resolveOrigin(url);
+    try {
+      const response = await fetch(`${origin}${url}`, {
+        ...init,
+        credentials: fetchCredentialsForPath(url),
+        headers: mergedHeaders
+      });
+      this.learnDirectOrigin(response);
+      return response;
+    } catch (err) {
+      if (origin !== this.config.baseUrl && !isAbortError(err)) {
+        this.directDisabled = true;
+      }
+      throw err;
+    }
   }
 };
 

package/package.json

@@ -1,6 +1,6 @@
 {
 	"name": "connectbase-client",
-	"version": "5.10.0",
+	"version": "5.12.0",
 	"description": "Connect Base JavaScript/TypeScript SDK for browser and Node.js",
 	"repository": {
 		"type": "git",